Zoom выпустила обновления Zoom Workplace для Windows, закрывающие две уязвимости, которые могут позволить удалённо повысить привилегии в системе без аутентификации. Максимальная оценка одной из ошибок составляет 9,6 по CVSS.
Критическая уязвимость получила идентификатор CVE-2026-108186. Она связана с некорректной проверкой входных данных и затрагивает Zoom Workplace для Windows версий от 7.1.0 до 7.1.7 включительно. CVSS-оценка проблемы — 9,6.
Вторая ошибка, CVE-2026-108187, получила 8,1 балла по CVSS. Её причиной названа недостаточная проверка происхождения данных. Уязвимы версии Zoom Workplace для Windows ниже 7.1.5. Таким образом, диапазоны затронутых версий частично пересекаются: системы с версиями 7.1.0–7.1.4 подпадают под оба описания.
По данным Zoom, успешная эксплуатация любой из двух проблем может дать удалённому злоумышленнику возможность повысить привилегии на системе. Для этого, как указывает компания, не требуются специальные разрешения или предварительный доступ. В опубликованном описании не приводятся технические детали эксплуатации, поэтому оценивать конкретный сценарий атаки сверх заявленного последствия нельзя.
Для администраторов ключевая задача — сопоставить версии клиента на рабочих станциях с указанными диапазонами и установить последние доступные обновления Zoom. В первую очередь проверить стоит устройства с Zoom Workplace 7.1.0–7.1.7, а также все системы, где используется версия ниже 7.1.5. Контроль фактических версий важен и для устройств, которые могут не получать обновления одновременно с остальным парком.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
Если для инвентаризации ПО, проверки охвата обновлениями и контроля устранения таких рисков не хватает внутренних ресурсов, эти работы могут быть частью услуг ИТБ по информационной безопасности. После проверки версий следует зафиксировать, на каких системах обновление ещё не установлено, и довести обновление до всех затронутых рабочих мест.
В начале июля 2026 года Zoom уже исправляла другую уязвимость некорректной проверки входных данных в Zoom Workplace для Windows — CVE-2026-53412 с оценкой CVSS 9,8. Тогда компания называла возможным последствием захват учётных записей неаутентифицированным пользователем. Этот случай не следует смешивать с двумя новыми CVE: для них заявленным последствием является удалённое повышение привилегий.
Компания не сообщает о случаях эксплуатации CVE-2026-108186 и CVE-2026-108187 в реальных атаках. Подтверждённых инцидентов, связанных именно с этими двумя ошибками, на данный момент не заявлено. Риск для организаций, использующих Zoom Workplace на Windows, связан прежде всего с наличием затронутых версий и отсутствием обновлений, а не с подтверждённой активной эксплуатацией.
Проверка установленного ПО остаётся актуальной и в более широком контексте защиты рабочих станций: ранее TTL писал, как npm-пакеты под видом Web3-акселератора устанавливали стилеры для Windows и macOS. В случае Zoom практический вывод проще: обновления закрывают две ошибки, допускающие удалённое повышение привилегий без аутентификации, и откладывать их установку не стоит.