Wie gefährlich sind die neuen TeamViewer-Lücken?

TeamViewer: zwei hochriskante Client-Lücken erlauben fremden Code

Markus Seyfferth

Autor Dr. Web

29. August 2026

2 Min. Lesezeit

TeamViewer hat zwei hochriskante Lücken in seinen Desktop-Clients geschlossen, die schwerere mit dem CVSS-Wert 8.8. Betroffen ist die Fernwartungssoftware, mit der Mittelständler und IT-Dienstleister täglich fremde Rechner steuern. Nicht die gehosteten Konten sind das Problem, sondern die verwundbaren Programme auf den Endgeräten selbst, die ein Update von Hand brauchen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Das Wichtigste in Kürze

Zwei Lücken in den TeamViewer-Clients, gepatcht am 26. August, aktive Angriffe sind keine bekannt.
Auf Linux führt eine präparierte Chat-URL nach einem Klick fremde Befehle aus (CVE-2026-19042, CVSS 8.8).
Auf Windows, macOS und Linux schleust ein Pfad-Trick beim Dateitransfer Dateien an fremde Orte (CVE-2026-16444, CVSS 7.5).
Der Fix steckt in Version 15.81.5, ältere Zweige bekommen eigene Hotfix-Stände.

Wie schleusen die beiden Lücken Code ein?

Schlüssel mit Update-Anhängern steckt in Türschloss, daneben Türklinke — Sicherheitslücke in Linux-Chat-Funktion ermöglicht Befehlsinjektion durch präparierte URLs

Chat als Einfallstor: Auf den Linux-Clients steckt eine Befehls-Injektion in der Chat-Funktion außerhalb einer Sitzung. Ein Angreifer schickt eine präparierte URL, und sobald der Empfänger sie anklickt, laufen fremde Befehle in dessen Benutzerkontext.^[1] Eine Nachricht setzt allerdings voraus, dass der Absender im Kontaktbuch steht oder der Empfänger Chats von Fremden ausdrücklich erlaubt.

Dateien am Ziel vorbei: Bei der zweiten Lücke prüft der Client die Dateinamen aus einer laufenden Fernsitzung nicht sauber. Über den Dateitransfer oder die virtuelle Zwischenablage schreibt ein Angreifer damit Dateien an Orte, die er nicht erreichen dürfte, bis hin zur Codeausführung mit den Rechten des angemeldeten Nutzers.^[2]

Präzedenzfall im Client: Schon zuvor umging eine Logiklücke in TeamViewers macOS-Client die Zwei-Faktor-Pflicht. Nicht der Server, sondern das Programm auf dem Endgerät bleibt die wiederkehrende Schwachstelle der Fernwartung.

Warum ist Fernwartungssoftware ein lohnendes Ziel?

Vertrauensbrücke ins System: Ein Fernwartungswerkzeug sitzt als vertrauter Zugang auf jedem verwalteten Rechner, und eine Client-Lücke erbt genau diese Reichweite. Zwischen einem Sicherheitshinweis und dem ersten Angriff liegt oft wenig Zeit. Bei einer GitLab-Lücke lieferte der Patch selbst die Bauanleitung, bei einer SharePoint-Lücke vergingen nur Stunden zwischen Beispielcode und Angriff. Auch ohne bekannten Exploit beginnt die Uhr mit dem Advisory zu laufen.

Jeder ausgerollte TeamViewer-Client verteilt dieselbe Angriffsfläche an einen weiteren Arbeitsplatz. Ohne Patchdisziplin wird aus dem Fernwartungswerkzeug eine offene Tür mit Firmenlogo.
— Michael Dobler, Herausgeber Dr. Web

TeamViewers August-Patch in Zahlen

Zwei hochriskante Lücken in den Clients, ein Sammel-Update als Abhilfe

CVSS 8.8

Linux-Client: fremde Befehle über eine angeklickte Chat-URL (CVE-2026-19042)

CVSS 7.5

Windows, macOS, Linux: Dateien landen per Pfad-Trick am Ziel vorbei (CVE-2026-16444)

15.81.5

abgesicherte Version für alle aktuellen Clients, Hosts und QuickSupport

0 Angriffe

in freier Wildbahn bekannt, kein Exploit vor dem Advisory

Ältere Zweige bekommen eigene Hotfix-Stände, etwa 14.7.48838 für die 14er-Reihe, dazu Fixes für die 13er- und die 15.64er-Linie.

Was sollten IT-Verantwortliche jetzt tun?

Zügig aktualisieren: Alle Clients, Hosts und QuickSupport-Installationen auf Version 15.81.5 heben, ältere Installationen auf den passenden Hotfix-Stand ihres Zweigs. Ein einzelner verwundbarer Rechner reicht als Einstieg.

Meldepflicht mitdenken: Für Betreiber im Sinne der NIS2-Richtlinie ist eine ungepatchte Fernwartung mit möglicher Codeausführung ein meldepflichtiges Risiko und kein reiner IT-Vorgang. Zusätzlich lässt sich der Linux-Vektor sofort entschärfen, indem der Betrieb Chat-Nachrichten von Fremden abschaltet, unabhängig vom Update.