Faille TeamViewer : l'ordinateur piraté peut désormais attaquer celui qui le contrôle

Dans une session TeamViewer, on se méfie en général de celui qui prend le contrôle. Cette faille inverse la logique : c'est la machine contrôlée qui peut attaquer l'utilisateur qui s'y est connecté pour la dépanner — sans mot de passe, sans clic supplémentaire, et avec exécution de code possible sur certaines plateformes.

1er novembre 2026 · Équipe SunuCyberSecurity

Sources : bulletin de sécurité TeamViewer TV-2026-1011, NVD, The Hacker News — détail en fin d'article.

TeamViewer a publié, le 27 octobre 2026, un correctif (version 15.83) pour trois failles de sécurité recensées dans le bulletin TV-2026-1011. La plus marquante, référencée CVE-2026-111585 et notée 8,8 sur 10 en CVSS v3.1, renverse le modèle de menace habituel des outils d'accès à distance : ce n'est pas celui qui se connecte et prend le contrôle qui représente le danger, mais la machine contrôlée elle-même, qui peut attaquer l'utilisateur connecté pour la contrôler.

Comment la faille fonctionne

Dans une session TeamViewer, le poste qui se connecte et prend le contrôle s'appelle le visionneur ; celui qu'on contrôle, l'hôte. Au début de la session, l'hôte indique au visionneur la taille de l'image d'écran à afficher, et le visionneur utilise cette valeur pour réserver de la mémoire en conséquence. Le problème (CWE-190, dépassement d'entier) : ce calcul peut déborder et réserver beaucoup moins de mémoire que nécessaire. Les données d'image envoyées ensuite par l'hôte s'écrivent alors au-delà de l'espace réservé — un dépassement de tampon classique, mais déclenché par la machine qu'on pensait sous contrôle, pas par celui qui le prend.

Omri Dar, chercheur chez Remedio, a publié le 29 octobre 2026 une description technique de la faille. Il y résume l'inversion du rapport de force habituel : « l'attaquant est l'hôte, la victime est le visionneur ». Au minimum, cela fait planter la session TeamViewer du visionneur — et l'hôte peut déclencher ce plantage à volonté, autant de fois qu'il le souhaite. Sur Windows, Remedio affirme avoir poussé la démonstration plus loin, en contournant les protections d'exploitation intégrées au système pour faire exécuter du code arbitraire de son choix sur le poste du visionneur.

Deux nuances importantes, pour ne pas surestimer la portée exacte de la démonstration : la preuve de concept Windows utilisait un relais côté hôte pour fournir une partie des données d'attaque, ce qui n'en fait pas encore une attaque entièrement menée par le réseau de bout en bout. Et le même résultat n'a pas été démontré sur macOS, Linux ou Android — TeamViewer indique seulement qu'une exécution de code y est possible, « selon la plateforme », sans plus de détail. L'attaque, elle, ne nécessite aucun mot de passe et aucun clic supplémentaire au-delà de l'acceptation normale d'une session, et fonctionne avec la configuration par défaut du logiciel.

Trois failles corrigées dans le même correctif

Le bulletin TV-2026-1011 ne corrige pas qu'une seule faille. CVE-2026-111585 (CVSS 8,8, celle détaillée ci-dessus) touche le Full Client, la version Portable et l'app Android Remote Control — mais, fait notable souligné par TeamViewer lui-même, pas le Host. Les deux autres failles du même bulletin, elles, touchent bien le Host : CVE-2026-92372 (CVSS 8,8 également) est un dépassement de tampon dans le décodeur d'image d'écran du Full Client et du Host sous Linux et macOS, exploitable en direct pendant une session ou via un fichier d'enregistrement .tvs piégé, sans même ouvrir de session en direct. CVE-2026-92374 (CVSS 7,8) est une élévation de privilèges locale sous macOS, via une faille de type TOCTOU dans le composant d'installation privilégié — un attaquant avec un accès local limité peut l'exploiter pour obtenir les droits root. Une mise à jour complète, côté client ET côté host, suppose donc de traiter les trois.

Ce qu'on sait de l'exploitation

TeamViewer indique n'avoir connaissance d'aucune attaque exploitant cette faille au moment de la publication du correctif. Au 29 octobre 2026, elle ne figurait pas non plus au catalogue des vulnérabilités activement exploitées (KEV) de la CISA, et Remedio précise n'avoir observé aucune attaque réelle et n'avoir publié aucun code d'exploitation fonctionnel.

Un point à ne pas négliger malgré cette relative tranquillité : la mise à jour de sécurité de septembre 2026 (version 15.82) ne corrigeait pas cette faille — elle affecte donc aussi cette version pourtant récente. Avoir appliqué la dernière mise à jour en date ne suffit pas à se savoir protégé ; seule la version 15.83 (ou une version plus récente) corrige réellement les trois failles du bulletin. TeamViewer ne propose aucune mesure de contournement temporaire — la mise à jour est la seule protection.

Pourquoi ça compte pour l'Afrique francophone

TeamViewer et les outils équivalents sont omniprésents pour le support informatique à distance en Afrique francophone : PME qui font appel à un prestataire à distance plutôt qu'à une équipe IT interne, diaspora qui dépanne des proches restés au pays, support technique de logiciels métier ou de matériel. Cet usage repose presque toujours sur la même hypothèse implicite : celui qui prend le contrôle est en position de force, celui qui est contrôlé est en position de faiblesse.

Cette faille montre que cette hypothèse ne tient plus automatiquement. N'importe quelle organisation ou particulier qui se connecte à un poste qu'il ne maîtrise pas entièrement — un client, un nouvel employé, un appareil qu'on dépanne ponctuellement — devrait désormais considérer la session d'accès distant comme un échange à double sens en matière de risque, pas comme un contrôle unilatéral et sans danger pour celui qui l'exerce.

Que faire maintenant

Sources et méthodologie

Bulletin de sécurité officiel TeamViewer TV-2026-1011 (détail des 3 CVE, CVSS, versions affectées et corrigées) · NVD, CVE-2026-111585 (CVSS v3.1, CWE-190, scope des versions affectées) · The Hacker News (reportage, citation du chercheur Omri Dar/Remedio, détail de la démonstration Windows). Correctif publié par TeamViewer le 27 octobre 2026 ; recherche publiée par Remedio le 29 octobre 2026. Données au 1er novembre 2026 — aucune exploitation active connue à ce jour ; nous mettrons à jour cet article si la situation évolue.

À lire aussi

Vérifiez votre propre exposition

Un scan gratuit, en quelques minutes, sans carte bancaire.