La vulnerabilità di TeamViewer mostra che il PC del tecnico è il bersaglio facile

Chi è il bersaglio in una sessione di assistenza remota: il cliente con il portatile rotto o il tecnico che ha le chiavi di tutti gli altri? Gran parte del ragionamento sulla sicurezza dà per scontato il primo. L'ultima vulnerabilità di TeamViewer ricorda bene che il secondo è un premio molto più ghiotto.

La falla è catalogata come CVE-2026-111585 e ha un punteggio CVSS di 8,8. SecurityWeek riferisce che la società Remedio avverte che potrebbe essere sfruttata per prendere il controllo del sistema del visualizzatore, cioè quello del tecnico IT, e la descrive come un integer overflow nel componente di elaborazione della schermata di controllo remoto dei client TeamViewer. Secondo Daily Security Review, i client interessati girano su Windows, macOS, Linux e Android. Un tracker, Rescana, afferma che non è presente nel catalogo delle vulnerabilità note sfruttate della CISA e che il rimedio è aggiornare i client alla versione 15.83. TeamViewer pubblica inoltre bollettini di sicurezza nel proprio trust center.

Il paziente contagia il medico

La sicurezza dell'assistenza remota è sempre stata impostata attorno a una domanda: come impediamo a un estraneo di entrare nel computer del cliente? Password, richieste di conferma e codici di sessione servono a questo scopo. Questo bug capovolge la direzione. Il tecnico si collega verso l'esterno, volontariamente, a una macchina che non controlla, e poi elabora tutto ciò che quella macchina gli restituisce, compresi i dati della sua schermata.

È un problema strutturale, non un bug isolato. Un tecnico dell'assistenza è esattamente il tipo di persona che si collega tutto il giorno a macchine guaste, sospette e magari compromesse. A nostro avviso, questo rende il visualizzatore uno dei software più esposti di un'azienda: elabora input non attendibili provenienti dall'altro lato, e chi lo usa ha spesso privilegi elevati e accesso a molti altri sistemi. Un solo attacco riuscito lì vale molto più che compromettere il PC di un cliente.

Bisogna essere prudenti su ciò che si sa. La documentazione di cui disponiamo descrive una possibile presa di controllo da parte di un host remoto malevolo, il che significa che l'attaccante deve trovarsi dall'altro lato di una sessione. Non ci sono segni di attacchi in corso, e non daremmo per scontato che sia banale metterlo in pratica. Ma «serve una sessione» è una magra consolazione quando le sessioni sono l'intero prodotto.

I fornitori dovrebbero isolare la sessione, non solo correggere il bug

Gli integer overflow nel codice che gestisce contenuti multimediali e schermate sono una classe di bug classica. Correggere questo è necessario, e una versione corretta è disponibile. Non basta. Finché il codice che decodifica una schermata remota gira con gli stessi privilegi dell'account del tecnico, il prossimo overflow avrà probabilmente la stessa portata dei danni.

La risposta sensata è l'isolamento: decodificare il flusso remoto in un processo a bassi privilegi, in una sandbox che non possa toccare il resto della macchina, in modo che un crash o persino l'esecuzione di codice al suo interno resti confinata. Pensiamo che questa dovrebbe essere la progettazione predefinita di qualsiasi strumento il cui compito sia guardare il computer di qualcun altro. I fornitori vendono questi prodotti puntando su comodità e raggio d'azione; l'investimento meno scintillante è dare per scontato che l'altro capo sia ostile.

I team IT dovrebbero trattare ogni connessione come ostile, in entrambe le direzioni

Per chi difende, la lezione pratica costa poco. Primo, aggiornare i client; Rescana indica la versione 15.83. Secondo, smettere di fare sessioni di assistenza dalla stessa postazione in cui il tecnico legge la posta e custodisce le credenziali di amministratore. Una macchina dedicata e blindata, o un desktop virtuale, per l'assistenza in uscita trasforma una potenziale compromissione del dominio in una semplice reinstallazione. Terzo, dare all'account di assistenza solo l'accesso che gli serve, così che un visualizzatore dirottato non sia una chiave universale.

Niente di tutto questo è esotico. È la stessa disciplina che le aziende già applicano a un browser che apre siti sconosciuti. Gli strumenti di assistenza remota meritano lo stesso sospetto, perché sono di fatto un browser puntato sull'intero computer di qualcun altro.

Il nostro verdetto

La notizia non è che TeamViewer abbia avuto un bug; ogni grande prodotto ne ha. La notizia è che il modello di fiducia dell'assistenza remota è al contrario da anni. Aggiorna subito, ma considera la patch uno stimolo a isolare il lato del tecnico. Se un fornitore non sa dirti come il suo visualizzatore è isolato in una sandbox, dai per scontato che non lo sia.