Fallo en TightVNC: un servidor VNC malicioso puede tomar el control del ordenador que se conecta

El 29 de octubre de 2026, SSD Secure Disclosure publicó los detalles de un fallo en TightVNC Viewer, el programa de TightVNC que se usa para ver y controlar otro ordenador. Afecta a la versión 2.8.88 para Windows de 64 bits y permite que un servidor VNC preparado por un atacante ejecute código en el ordenador que se conecta a él, antes de que aparezca la petición de contraseña. La investigación incluye código de prueba de concepto, así que cualquiera puede reproducirlo. TightVNC ya lo había corregido a principios de octubre en las versiones 2.8.89 y 2.8.90, pero sin publicar un identificador CVE, y muchos equipos siguen sin actualizar.

Lo vulnerable no es el ordenador al que se accede, sino el del que se conecta: el visor. Con frecuencia es el portátil del informático, que tiene acceso a todos los demás.

Qué ha pasado

Cuando el visor se conecta a un servidor VNC, el servidor le dice el tamaño de su pantalla y el visor reserva memoria para dibujarla. El investigador, SeongJoon Cho, de SSD Labs Korea, comprobó que el visor calcula esa memoria con un número que se desborda si el servidor anuncia una pantalla absurdamente grande: reserva mucho menos espacio del necesario y, a partir de ahí, el servidor puede escribir donde no debe. Con eso consiguió ejecutar un programa en el ordenador del visor.

Según SSD, el fabricante no respondió a su aviso y corrigió el fallo el 3 de octubre sin mencionar que fuera de seguridad. Las notas oficiales de TightVNC sí califican de actualización de seguridad la 2.8.89, del 2 de octubre, y la 2.8.90, del 5 de octubre, y piden expresamente a todos los usuarios que actualicen.

Cómo se puede atacar

La investigación describe dos situaciones en las que el visor queda expuesto:

• Visor en modo de escucha. TightVNC permite dejar el visor esperando a que el equipo remoto llame (opción «Listening mode» o el parámetro -listen). En ese modo abre el puerto 5500 a cualquier dirección, sin contraseña. Quien llegue a ese puerto puede atacar el equipo sin que nadie haga nada.
• Conexión a un servidor del atacante. Basta con que el técnico se conecte a una dirección controlada por el atacante: un enlace recibido por correo o por chat, un supuesto equipo de cliente que pide asistencia o un servidor legítimo cuyo puerto ha sido suplantado. El código se ejecuta al conectar, antes de escribir ninguna contraseña.

Qué versiones están afectadas

Los investigadores solo han publicado pruebas con la 2.8.88 de 64 bits. Las versiones anteriores no llevan la corrección que se añadió en la 2.8.89, así que lo prudente es tratarlas igual. Para Linux y macOS no se ha publicado nada: el aviso se refiere al visor de Windows.

El servidor de TightVNC, el que se instala en los equipos a los que se accede, no está afectado por este fallo. Pero también ha tenido correcciones este mes: el 8 de octubre se publicó CVE-2026-107615, que afecta al servidor para Windows anterior a la 2.8.88 y permite a un usuario del propio equipo obtener permisos de sistema. Si hay servidores antiguos instalados, conviene actualizarlos a la vez.

Por qué importa en una empresa

VNC sigue siendo muy habitual en las pymes para dar soporte remoto, porque es gratuito y funciona sin cuentas en la nube. Lo normal es que el servidor esté instalado en los equipos de la oficina y el visor en el ordenador de quien da soporte: el informático de la casa, el proveedor externo o el compañero que se encarga de estas cosas.

Ese ordenador es justo el que más interesa a un atacante. Suele tener guardadas las contraseñas de los demás equipos, accesos a servidores, a la consola de copias de seguridad o al panel de Microsoft 365. Comprometerlo es mucho más rentable que comprometer un puesto cualquiera. Y el modo de escucha, que se usa precisamente para ayudar a equipos que están detrás de un router sin abrir puertos en el cliente, es el escenario más peligroso si el puerto 5500 del técnico queda accesible.

Qué hacer hoy

1. Localice dónde está instalado TightVNC: en el ordenador de cada persona que da soporte y en los equipos de la oficina. Revise también los portátiles personales que se usen para conectarse.
2. Actualice el visor a la 2.8.90 o pase a la rama 4.0, descargándolo solo desde la web oficial de TightVNC. No use instaladores reenviados por correo ni copias de sitios de descargas.
3. No deje el visor en modo de escucha de forma permanente. Si lo necesita, actívelo solo durante la sesión y limite el puerto 5500 en el cortafuegos a las direcciones que deben llegar a él.
4. No se conecte a direcciones VNC que lleguen por correo, por chat o por teléfono sin comprobar antes que son de un cliente o equipo conocido.
5. Actualice también el servidor en los equipos a los que se accede, al menos a la 2.8.88, y no publique nunca el puerto VNC (5900) directamente en internet: el acceso debe pasar por una VPN.

Cómo comprobar la versión instalada

En el propio visor, la versión aparece en la ventana «Acerca de». Para revisar varios equipos de una vez, en Windows puede usar este comando desde PowerShell o desde la consola de comandos:

winget list TightVNC

Si el equipo está gestionado con una herramienta de monitorización remota o con Intune, el inventario de software le dará la misma información para toda la red.

Conclusión práctica

Es un fallo fácil de corregir, porque la versión buena lleva un mes publicada, pero también fácil de pasar por alto: no tiene CVE, no aparece en Windows Update y el programa vulnerable está en el ordenador que nadie revisa, el del técnico. Con la prueba de concepto ya pública, conviene hacerlo esta semana.

Si en su empresa el soporte remoto se hace con herramientas instaladas hace años y nadie lleva un inventario de lo que hay en cada equipo, este es un buen momento para ordenarlo. Es parte de lo que hacemos en el mantenimiento informático: saber qué hay instalado, mantenerlo al día y dar soporte remoto con accesos controlados.

Fuentes

Información actualizada a 2 de noviembre de 2026.

• SSD Secure Disclosure: TightVNC Viewer Pre-auth RCE (29 de octubre)
• TightVNC: notas de las versiones 2.8.89, 2.8.90 y 4.0
• TightVNC: página oficial de descarga
• SentinelOne: CVE-2026-107615 en el servidor de TightVNC para Windows
• elhacker.NET: vulnerabilidad RCE en TightVNC con prueba de concepto