Zoom выпустил обновления для Zoom Workplace for Windows, закрывающие две уязвимости, через которые неаутентифицированный атакующий по сети мог повысить привилегии в системе. Одна из дыр получила критическую оценку 9.6 по CVSS.
Что именно закрыли
В бюллетене вендора значатся два идентификатора:
- CVE-2026-108186 (CVSS 9.6) — ошибка валидации входных данных. Неаутентифицированный пользователь может провести эскалацию привилегий через сетевой доступ.
- CVE-2026-108187 (CVSS 8.1) — ошибка валидации источника (origin validation). Тот же сценарий: неаутентифицированный пользователь и эскалация привилегий по сети.
В обоих случаях, как указывает Zoom, успешная эксплуатация не требует особых прав или доступа — достаточно сетевого взаимодействия с уязвимым клиентом.
Кого касается и какие версии уязвимы
Границы версий у двух дыр разные, и это важно при проверке парка машин:
- CVE-2026-108187 затрагивает Zoom Workplace for Windows до версии 7.1.5;
- CVE-2026-108186 — версии с 7.1.0 и до 7.1.8.
То есть клиент на 7.1.5 или 7.1.6 закрыт от второй уязвимости, но остаётся уязвимым к первой, пока не обновится до 7.1.8. Проверять нужно именно сборку приложения, а не только факт установки свежего патча: у части парка автообновление может быть отключено политикой.
Эксплуатации пока не наблюдали
Zoom не сообщает об эксплуатации этих уязвимостей в реальных атаках. Тем не менее вендор рекомендует установить актуальные патчи, чтобы снять потенциальную угрозу. Для администратора это стандартный сигнал: критическая оценка при сетевом векторе и отсутствии требований к аутентификации означает, что окно между публикацией бюллетеня и появлением рабочего эксплойта может быть коротким.
Похожая история уже была в июле: тогда Zoom закрывал другую ошибку валидации входных данных в Workplace for Windows — CVE-2026-53412 с оценкой 9.8, которая позволяла неаутентифицированному пользователю захватить контроль над аккаунтами. Нынешние две дыры продолжают ту же линию проблем в клиенте для Windows.
Что делать администратору
- Определить версии Zoom Workplace for Windows на рабочих станциях и в терминальных сессиях.
- Обновить всё, что ниже 7.1.8, — это закрывает обе уязвимости сразу.
- Проверить, не заблокировано ли автообновление групповыми политиками или настройками корпоративного развёртывания.
- Если централизованного управления обновлениями нет, разослать пользователям требование обновиться вручную через меню приложения.
Отдельно стоит пройтись по машинам, где Zoom стоит «для созвонов» и обновляется редко: именно там версии 7.1.0–7.1.7 задерживаются дольше всего. Смежные риски клиентских приложений для совместной работы мы разбирали в материале про критические уязвимости Langflow и про эксплуатацию CVE-2026-110447 в Collabora Online.
Частые вопросы
Насколько опасна CVE-2026-108186?
Это критическая ошибка с оценкой 9.6 по CVSS: неаутентифицированный атакующий по сети может повысить привилегии. Для рабочей станции это означает потенциальный выход за пределы прав обычного пользователя.
Чем отличается вторая уязвимость?
CVE-2026-108187 — ошибка валидации источника с оценкой 8.1. Сценарий тот же — эскалация привилегий по сети без аутентификации, но механизм другой, поэтому и версии затронуты разные.
Какая версия закрывает обе дыры?
7.1.8. Версия 7.1.5 закрывает только CVE-2026-108187, но не CVE-2026-108186, которая действует начиная с 7.1.0.
Уязвимы ли версии старше 7.1.0?
По данным Zoom, CVE-2026-108186 затрагивает версии с 7.1.0 и до 7.1.8. Для CVE-2026-108187 граница другая — все версии до 7.1.5.
Есть ли эксплойты в открытом доступе?
В бюллетене Zoom об эксплуатации в реальных атаках не сообщается. Вендор рекомендует не откладывать установку патчей.
Затронуты ли другие платформы?
Речь идёт о Zoom Workplace for Windows. О версиях для macOS, Linux или мобильных платформ в бюллетене не говорится.
Что было в предыдущем похожем случае?
В июле Zoom закрывал CVE-2026-53412 (CVSS 9.8) — тоже ошибку валидации входных данных в Workplace for Windows, позволявшую неаутентифицированному пользователю захватить аккаунты.
Нужно ли что-то менять в сетевой защите?
Специальных сетевых мер вендор не называет. Основное действие — обновить клиент до 7.1.8; до этого стоит считать рабочие станции с уязвимой сборкой зоной риска.
Источник: thehackernews.com