כשאתם פותחים חיבור מרחוק ב-TeamViewer אתם מחליטים מה הצד השני יכול לעשות: רק לראות את המסך, או גם להזיז את העכבר, להעביר קבצים ולהתקין תוכנות. בגרסאות שהיו מותקנות עד השבוע חלק מההגבלות האלה לא נאכפו באמת. TeamViewer פרסמה ביום שלישי עדכון שמתקן חמש חולשות וקראה לכל המשתמשים להתקין אותו בהקדם, בניסוח חריג בחדות שלו לחברה הזאת.

מה קרה

העדכון, שמסומן אצל החברה כ-TV-2026-1010, מגיע בגרסה 15.82 ונוגע ל-Full Client ול-Host בווינדוס, ב-macOS ובלינוקס. החמורה מבין החמש קיבלה ציון CVSS של 8.8 מתוך 10, והיא עובדת ככה: מי שכבר מחובר אליכם בהרשאה מוגבלת יכול לשנות את הפרמטרים שמגדירים אילו יכולות חסומות, ומשם לעשות דברים שאתם סירבתם להם במפורש, עד כדי הרצת קוד על המחשב. במילים אחרות, הדלת נפתחה ברוחב שאתם קבעתם, והמנעול שהגביל אותה לא היה מחובר לכלום. לסוג התקלות האלה קוראים בקרת הרשאות לקויה.

ארבע האחרות דורשות מהתוקף כבר להיות על המחשב, והן מאפשרות לו להעלות את עצמו להרשאות SYSTEM בווינדוס או root בלינוקס וב-macOS. אחת מהן יושבת בשירות הפנימי של התוכנה, ששולח אליו פקודות מעובדות אחרים במחשב, וקלט מעוצב בזהירות גורם לו לכתוב קבצים בהרשאות הגבוהות שלו. אחרת נמצאת דווקא במקום שקל לפספס: כשהתוכנה מפרסרת קובץ הקלטה של שיחה שמורה, אי-התאמה בין הגודל המוצהר לגודל האמיתי מאפשרת כתיבה מחוץ לשטח שהוקצה בזיכרון. TeamViewer מסרה שאין לה ידיעה על קוד ניצול פומבי או על ניצול בפועל של אף אחת מהחמש.

למה זה חשוב לכם

TeamViewer מותקנת על המון מחשבים פרטיים בישראל, בדרך כלל מהפעם ההיא שטכנאי ביקש להיכנס ולתקן משהו. היא גם הכלי המועדף בהונאת "שיחה מהתמיכה": מתקשר שמציג את עצמו כנציג מהבנק או ממיקרוסופט, מבקש שתתקינו תוכנת שליטה מרחוק, ומרוקן את החשבון מול העיניים שלכם. בתרחיש הזה ההגבלות שאתם מסמנים בתוך החיבור הן ההגנה האחרונה שנשארה, ובדיוק הן אלה שלא נאכפו. (וזאת אגב אותה חברה שדיווחה בעצמה על שתי פריצות לרשת הפנימית שלה, ב-2016 וב-2024.)

מה עושים?

עדכנו לגרסה 15.82. בתוך התוכנה: תפריט עזרה, ואז בדיקת עדכונים.

אם התקנתם אותה פעם לצורך תמיכה חד-פעמית ואתם לא משתמשים בה, פשוט הסירו אותה. תוכנה שלא מותקנת לא צריכה עדכונים ולא נותנת לאף אחד דרך פנימה.

אל תתקינו תוכנת שליטה מרחוק בעקבות שיחה שלא אתם יזמתם, גם אם המתקשר יודע את שמכם ואת ארבע הספרות של הכרטיס. בנק, חברת אשראי ומיקרוסופט לא מבקשים את זה בטלפון, אף פעם.

אם אתם כן משתמשים בה בקביעות, הפעילו אימות דו-שלבי על חשבון TeamViewer עצמו.

ההגבלות שבתוך החיבור הן השורה השנייה של ההגנה. הראשונה היא ההחלטה אם לפתוח אותו בכלל.