TeamViewerのLinux版にチャット経由のコマンドインジェクション脆弱性 — CVE-2026-19042、CVSS 8.8で修正版を公開

TeamViewerは2026年8月26日、Linux版TeamViewerクライアントにおけるコマンドインジェクション脆弱性（CVE-2026-19042）に関するセキュリティ情報TV-2026-1009を公表した。チャットのリンク処理に不備があり、攻撃者が細工したURLをクリックさせることで、利用者の権限で任意のコマンドを実行されるおそれがある。TeamViewerは修正版を公開済みとして、最新版への更新を推奨している。

脆弱性の概要

TeamViewerによると、対象はLinux版のTeamViewer Full ClientおよびTeamViewer Hostだ。セッション外チャット（out-of-session chat）で受信したURLの処理において、OSコマンドに使われる特殊文字の無害化が不十分だった。攻撃者は細工したURLを含むチャットメッセージを送り、受信者がリンクをクリックすると、現在の利用者の権限で任意のコマンドが実行される可能性がある。脆弱性の種類は**CWE-78（OSコマンドインジェクション）**に分類される。

深刻度はCVSS 3.1で8.8（High）、ベクトル文字列はCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hと評価されている。ネットワーク経由で攻撃可能で、攻撃の複雑さは低く、特権は不要だが、利用者の操作（クリック）が必要という評価だ。

TeamViewerは公表時点で、本脆弱性が事前に公開されていた事実や、実際に悪用された事例は確認されていないとしている。

影響を受けるバージョンと修正版

影響を受けるのは次のバージョンだ。

• TeamViewer Full Client（Linux） 15.81.5未満
• TeamViewer Host（Linux） 15.81.5未満
• レガシー版 TeamViewer Full Client V14（Linux） 14.7.48838未満
• TeamViewer Host V14（Linux） 14.7.48838未満
• TeamViewer Full Client V13（Linux） 14.7.48838未満
• TeamViewer Host V13（Linux） 14.7.48838未満

修正は15.81.5およびレガシー向けの14.7.48838で提供されている。TeamViewerは最新版（15.81.5または入手可能な最新バージョン）への更新を推奨している。

TeamViewerは本脆弱性を発見し、責任ある開示に協力した研究者として、HeaZzy氏（Mathys KHALFA氏）とskav氏（Antoine RIEUL氏）がTeamViewerのバグバウンティプログラムを通じて報告したことに謝意を示している。

悪用の前提条件

TeamViewerによると、チャットメッセージを送信するには、攻撃者が受信者の連絡先リストに含まれているか、受信者が連絡先リスト外からのチャットメッセージを明示的に許可している必要がある。既定では、リスト外からのチャットは無効になっている。仮に攻撃者がこれらの条件を満たしてメッセージを届けられたとしても、受信者がリンクをクリックしなければ悪用は成立しない。

TeamViewerが推奨する対応

TeamViewerは次の対応を推奨している。

• 修正版への更新：影響を受けるLinux版クライアントを利用している場合は、15.81.5または14.7.48838以降へ速やかに更新する。
• 一時的な緩和策：直ちに更新できない場合は、影響を受けるクライアントでチャット経由で受信したリンクをクリックしないようにする。

Windows版やmacOS版については、今回のTV-2026-1009の対象外とされている。組織内でLinux版TeamViewerを利用している場合は、資産管理台帳で導入状況を確認し、修正版の適用を優先したい。

出典

• TV-2026-1009 — Command Injection in TeamViewer Clients for Linux through Chat Link Handling