מישהו מבקש שתסתכלו על המחשב שלו. אתם פותחים TeamViewer, מקלידים את המספר שהוא שלח, מאשרים את החיבור, ורואים את שולחן העבודה שלו על המסך שלכם. בגרסאות שלפני 15.83 זה בדיוק הרגע שבו המחשב שלכם בסיכון, ולא שלו.

מה קרה

בשיחת שליטה מרחוק יש שני צדדים: מי שמתחבר ולוקח שליטה, ומי שהמחשב שלו נשלט. כמעט כל מה שנאמר אי פעם על זהירות בשליטה מרחוק עוסק בצד שנשלט, כי הוא זה שפותח את המחשב שלו לאדם אחר. החולשה ש-TeamViewer תיקנה השבוע עובדת בכיוון ההפוך.

המחשב שנשלט מודיע למחשב ששולט באיזה גודל הוא שולח את תמונת המסך. הצד ששולט מקצה זיכרון לפי המספר הזה, ואפשר לשלוח מספר שמפיל את החישוב כך שהזיכרון שמוקצה קטן ממה שיידרש בפועל. הנתונים שמגיעים אחר כך נכתבים מעבר לסוף השטח. לסוג הבאג הזה קוראים integer overflow.

במקרה הבסיסי התוכנה שלכם קורסת, והצד השני יכול להפיל אותה שוב ושוב. החוקר עומרי דר מחברת Remedio פרסם ב-29 באוקטובר ניתוח טכני שבו הוא לקח את זה רחוק יותר: ב-Windows הוא עבר את הגנות מערכת ההפעלה והריץ קוד משלו על המחשב ששולט. ההדגמה נשענה על רכיב עזר שהוא עצמו הריץ בצד הנשלט כדי לספק חלק מנתוני התקיפה, כך שזו עדיין לא תקיפה שמתבצעת כולה דרך הרשת, והיא הודגמה רק ב-Windows. TeamViewer מסתפקת באמירה שהרצת קוד אפשרית, בהתאם לפלטפורמה.

החולשה, CVE-2026-111585, קיבלה ציון 8.8 מתוך 10. היא לא דורשת סיסמה, לא דורשת שום לחיצה נוספת מעבר לפתיחת השיחה, ועובדת בהגדרות ברירת המחדל של התוכנה.

למה זה חשוב לכם

TeamViewer היא אחת התוכנות הנפוצות לטיפול במחשב מרחוק, בין שמדובר בטכנאי שנכנס למחשב של לקוח ובין בבן משפחה שמסדר משהו במחשב של ההורים. ההנחה הרגילה היא שמי שמסתכן הוא הצד שנותן גישה. כאן מספיק שתתחברו למחשב של מישהו אחר, והוא זה שיכול לתקוף אתכם.

זה הופך הזמנה להתחבר לכלי של הנדסה חברתית. מי שמשכנע אותכם להיכנס למחשב שלו, בתור איש תמיכה, לקוח או מעסיק פוטנציאלי שמבקש לראות משהו, לא צריך יותר מזה. החולשה קיימת ב-Full Client ל-Windows, לינוקס ו-macOS, בגרסה הניידת ל-Windows ובאפליקציית Remote Control לאנדרואיד, בכל הגרסאות שלפני 15.83. מי שהתקין את עדכון האבטחה של ספטמבר, גרסה 15.82, עדיין חשוף.

מה עושים?

עדכנו ל-15.83 או לגרסה חדשה יותר. במחשב דרך התפריט Help ואז Check for new version, באנדרואיד דרך חנות האפליקציות. 15.82 לא מספיק.

אם אתם על ענף ישן של התוכנה, 13.2, 14.7 או 15.64 ל-Windows 7 ו-8, יצאו באותו יום גרסאות מתוקנות גם לענפים האלה.

אל תפתחו שיחת שליטה מרחוק למחשב שלא ביקשתם להתחבר אליו. הזמנה להתחבר למחשב של זר היא בקשה לגישה למחשב שלכם, גם אם היא לא נשמעת כך.

אותו עדכון סוגר עוד שתי חולשות בציון גבוה, אחת מהן הרצת קוד בלינוקס וב-macOS, ועוד שש בתוספי ה-Remote Management שמגיעות בעדכון אוטומטי. גם מי שמריץ רק את רכיב ה-Host צריך לעדכן.

TeamViewer אומרת שבזמן פרסום התיקון לא היו ידועות לה תקיפות שמנצלות את החולשה, Remedio לא פרסמה קוד ניצול, והחולשה לא מופיעה ברשימת החולשות המנוצלות של CISA. זה נכון לעכשיו, ועדכון שמתקין את עצמו בכמה שניות לא כדאי לדחות עד שזה ישתנה.