TeamViewer hat zwei Sicherheitslücken in seinen Desktop-Clients geschlossen, die Angreifern das Ausführen von Schadcode ermöglichen. Betroffen sind alle Plattformen — wer die Fernwartungs-Software nutzt, sollte sofort auf Version 15.81.5 aktualisieren.

Die kritischere Schwachstelle (CVE-2026-19042, CVSS 8.8) betrifft die Linux-Clients: Über präparierte URLs in der Chat-Funktion können Angreifer beliebige Befehle einschleusen. Ein Klick auf den manipulierten Link reicht — der Code läuft dann im Kontext des angemeldeten Nutzers. Standardmäßig können allerdings nur Kontakte Chat-Nachrichten senden.

Path-Traversal betrifft alle Plattformen

Die zweite Lücke (CVE-2026-16444, CVSS 7.5) steckt in den Desktop-Clients für Windows, macOS und Linux gleichermaßen. Über den Dateitransfer oder das virtuelle Clipboard können authentifizierte Angreifer Dateien in nicht vorgesehene Verzeichnisse schreiben — und so potenziell beliebigen Code ausführen. Betroffen sind Full Client, Host und QuickSupport jeweils vor Version 15.81.5.

TeamViewer hat beide Schwachstellen am 26. August per Security Bulletin veröffentlicht. Die Meldung lief über das Bug-Bounty-Programm als Responsible Disclosure; Angriffe in freier Wildbahn sind bisher nicht bekannt. Auch für ältere Versionszweige (v13 und v14) stehen Patches bereit.

Erst im Februar musste TeamViewer eine andere Lücke schließen, über die Angreifer ohne vorherige Bestätigung auf Rechner zugreifen konnten. Fernwartungs-Tools sind generell ein lohnendes Angriffsziel, weil sie oft dauerhaft im Hintergrund laufen und tiefe Systemrechte besitzen.

Gerade die Chat-Lücke unter Linux finde ich unangenehm — ein einziger unbedachter Klick reicht für die Kompromittierung. Prüft heute noch eure installierte Version.