Prehľad situácie
Spoločnosť Zoom vydala aktualizácie, ktoré opravujú dve bezpečnostné chyby v aplikácii Zoom Workplace pre Windows. Jedna z nich je kritická a môže viesť k eskalácii privilégií (zvýšeniu oprávnení) na napadnutých systémoch. Útočník, ktorý nemá žiadne konto ani oprávnenia, by mohol získať vyššie práva len prostredníctvom sieťového prístupu.
Technické detaily
| CVE ID | CVSS | Typ zraniteľnosti | Popis |
|---|---|---|---|
| CVE-2026-108186 | 9.6 | Improper input validation (nesprávna validácia vstupu) | Neautentifikovaný používateľ môže cez sieť vykonať eskaláciu privilégií. |
| CVE-2026-108187 | 8.1 | Origin validation (nedostatočné overenie pôvodu požiadavky) | Neautentifikovaný používateľ môže cez sieť vykonať eskaláciu privilégií. |
Úspešné zneužitie ktorejkoľvek z chýb môže vzdialeným útočníkom umožniť zvýšiť si oprávnenia bez potreby akýchkoľvek špeciálnych práv alebo predchádzajúceho prístupu.
Dotknuté produkty a opravené verzie
| CVE ID | Dotknuté verzie (Zoom Workplace pre Windows) |
|---|---|
| CVE-2026-108186 | od verzie 7.1.0 do verzie pred 7.1.8 |
| CVE-2026-108187 | všetky verzie pred 7.1.5 |
Opravu obsahujú verzie 7.1.8 (CVE-2026-108186) a 7.1.5 (CVE-2026-108187). Odporúčame preto aktualizovať na najnovšiu dostupnú verziu, ktorá pokrýva obe chyby.
Kontext zneužitia
Zoom vo svojich bulletinoch neuvádza, že by boli tieto zraniteľnosti zneužívané v reálnych útokoch (in the wild). Nejde však o prvý prípad. Už v júli tohto roku vydal Zoom opravu ďalšej chyby typu improper input validation v Zoom Workplace pre Windows (CVE-2026-53412, CVSS 9.8), ktorá umožňovala neautentifikovanému používateľovi prevziať kontrolu nad kontami.
Mitigácie a odporúčania
- Okamžite aktualizujte Zoom Workplace pre Windows na najnovšiu verziu (minimálne 7.1.8).
- V organizáciách skontrolujte, ktoré inštalácie bežia na verziách pred 7.1.8, a zabezpečte ich hromadnú aktualizáciu (napr. cez nástroje na správu softvéru).
- Aj bez dôkazov o aktívnom zneužívaní patchujte bezodkladne, keďže kritické chyby s hodnotením CVSS nad 9.0 a sieťovým vektorom bývajú rýchlo predmetom záujmu útočníkov.
Záver
Dve chyby v Zoom Workplace pre Windows, z toho jedna s hodnotením 9.6, predstavujú vážne riziko pre používateľov aj organizácie. Hoci zneužitie v praxi zatiaľ nebolo potvrdené, vzhľadom na sieťový vektor a absenciu nutnosti autentifikácie je rozumné aplikovať opravy čo najskôr.