Lỗ hổng TeamViewer nghiêm trọng: Kẻ tấn công có thể chiếm quyền điều khiển máy của nhân viên hỗ trợ IT

TeamViewer, công cụ điều khiển máy tính từ xa phổ biến được hàng triệu doanh nghiệp và kỹ thuật viên IT trên thế giới sử dụng, vừa phải phát hành bản vá cho một lỗ hổng nghiêm trọng có thể bị lợi dụng để chiếm quyền điều khiển chính máy của người hỗ trợ. Thông tin được công bố bởi hãng bảo mật Remedio, thu hút sự chú ý của cộng đồng an ninh mạng quốc tế.

Theo cảnh báo, lỗ hổng có mã CVE-2026-111585 với điểm CVSS 8.8 (mức nghiêm trọng cao), thuộc dạng tràn số nguyên (integer overflow) trong thành phần xử lý hình ảnh màn hình điều khiển từ xa của TeamViewer, ảnh hưởng đến ứng dụng khách trên Windows, macOS, Linux và Android.

Lỗ hổng TeamViewer ảnh hưởng đến nhiều nền tảng

Cơ chế khai thác: kẻ tấn công đóng vai "máy chủ"

Điều khiến lỗ hổng này đặc biệt nguy hiểm là nó đảo ngược mô hình đe dọa thông thường. Thay vì kẻ tấn công phải xâm nhập vào máy của nạn nhân, chính phiên kết nối hợp lệ lại trở thành vũ khí.

Theo mô tả kỹ thuật, máy chủ (host) sẽ thông báo kích thước màn hình cho máy khách (viewer), và máy khách dùng thông số này để cấp phát bộ đệm pixel trong bộ nhớ nhằm giải nén dữ liệu hình ảnh nhận được. Vấn đề nằm ở chỗ không có giới hạn trên cho kích thước mà máy chủ khai báo.

Một máy chủ độc hại có thể yêu cầu một vùng hiển thị khổng lồ, ví dụ 32768 x 32768 pixel ở 32 bit mỗi pixel, khiến phép tính vượt quá giới hạn 32 bit và gây ghi ngoài biên bộ đệm ở mọi hàng vượt quá hàng thứ 31.

"Kích thước màn hình mà máy chủ công bố được dùng nguyên trạng để định cỡ vùng vẽ, không có giới hạn trên nào được áp dụng cho dữ liệu đến từ mạng" — Remedio giải thích.

Đáng lo ngại hơn, kẻ tấn công có thể từ chối thương lượng codec video để buộc máy khách phải đi theo con đường giải mã phần mềm - nơi lỗ hổng tồn tại. Nhờ đó, toàn bộ quá trình khai thác chỉ cần các thông điệp mà giao thức vốn đã hỗ trợ.

Từ tấn công từ chối dịch vụ đến thực thi mã tùy ý

Giai đoạn đầu, lỗi này có thể bị dùng để gây ra tình trạng từ chối dịch vụ (DoS) - khiến ứng dụng TeamViewer của kỹ thuật viên liên tục bị treo hoặc sập trong một phiên làm việc bình thường.

Tuy nhiên, nhóm nghiên cứu của Remedio đã tiến xa hơn: họ chứng minh có thể lợi dụng CVE-2026-111585 để thực thi mã tùy ý trên máy của người xem. Nguyên nhân là vùng bộ đệm bị hỏng vẫn là một đối tượng "sống" mà ứng dụng gọi qua con trỏ ở trường đầu tiên; ghi đè con trỏ này sẽ chuyển hướng lệnh gọi.

Nhóm nghiên cứu cho biết đã vượt qua các cơ chế bảo vệ hiện có để chuyển hướng lệnh gọi tới WinExec và chạy mã độc ngay trong tiến trình TeamViewer. Điều đáng chú ý là lỗ hổng có thể bị kích hoạt trong cấu hình mặc định - chỉ cần một phiên kết nối được chấp nhận, tức chế độ hoạt động bình thường của sản phẩm.

Mô hình tấn công qua phiên hỗ trợ từ xa

Hàng loạt lỗ hổng khác được vá cùng lúc

Phiên bản 15.83 của TeamViewer (bao gồm Full Client, Host, Portable và ứng dụng Remote Control cho Android) đã chứa các bản vá cần thiết. TeamViewer cũng phát hành bản cập nhật bảo mật cho nhiều phiên bản cũ hơn.

Bản cập nhật cho macOS và Linux còn khắc phục CVE-2026-92372 - lỗi ghi ngoài biên với hậu quả tương tự, khi kẻ tấn công gửi dữ liệu hình ảnh được tạo đặc biệt hoặc dụ người dùng mở tệp ghi phiên TeamViewer (.tvs) độc hại để thực thi mã tùy ý.

Trên macOS, bản vá còn xử lý CVE-2026-92374 - lỗi race condition TOCTOU liên quan đến xử lý symbolic link không đúng cách, cho phép kẻ tấn công cục bộ có đặc quyền thấp cài đặt gói độc hại và leo thang lên quyền root.

Ngoài ra, TeamViewer đã vá 6 lỗ hổng leo thang đặc quyền cục bộ mức nghiêm trọng cao trong các tiện ích bổ sung TeamViewer Remote Management.

Khuyến nghị cho người dùng và doanh nghiệp

TeamViewer khẳng định hiện chưa ghi nhận trường hợp nào các lỗ hổng này bị khai thác trên thực tế. Tuy vậy, với vai trò là công cụ hỗ trợ từ xa được các doanh nghiệp và đơn vị IT tại Việt Nam sử dụng rộng rãi để vận hành hệ thống, việc chủ động cập nhật là rất cần thiết.

• Cập nhật ngay TeamViewer lên phiên bản 15.83 hoặc mới hơn trên mọi thiết bị
• Cập nhật cả các thành phần TeamViewer Remote Management nếu đang dùng
• Hạn chế chấp nhận phiên kết nối từ những máy chủ không rõ nguồn gốc
• Cân nhắc áp dụng xác thực hai lớp và chính sách whitelist cho các kết nối từ xa trong doanh nghiệp
• Theo dõi các bản tin bảo mật để nắm thông tin về các lỗ hổng tương tự

Bài học từ sự cố này: ngay cả những công cụ được thiết kế để bảo vệ và hỗ trợ cũng có thể trở thành bàn đạp tấn công nếu kẻ xấu kiểm soát được một đầu của phiên kết nối. Trong môi trường làm việc từ xa ngày càng phổ biến, việc duy trì kỷ luật cập nhật phần mềm là tuyến phòng thủ đầu tiên và quan trọng nhất.