Zoom תיקנה פגם קריטי ב־Windows המאפשר הסלמת הרשאות ללא אימות

Zoom פרסמה עדכוני אבטחה לתיקון שני פגמי אבטחה ב־Zoom Workplace עבור Windows. CVE-2026-108186, בדירוג CVSS 9.6, הוא פגם באימות קלט שעלול לאפשר לתוקף להשיג הרשאות גבוהות יותר דרך חיבור רשת ללא התחברות. CVE-2026-108187, בדירוג CVSS 8.1, הוא פגם באימות מקור שעלול לאפשר גם הוא לתוקף שלא עבר אימות להסלים הרשאות מרחוק.

לפי Security Affairs, CVE-2026-108187 משפיע על גרסאות Zoom Workplace עבור Windows הקודמות ל־7.1.5, ואילו CVE-2026-108186 משפיע על גרסאות מ־7.1.0 ועד 7.1.8, לא כולל. הפגם הראשון דווח על ידי צוות האבטחה הפנימי של Zoom והשני על ידי החוקר shmoul. מומלץ למשתמשים להתקין את עדכוני Zoom Workplace האחרונים.

Security Affairs מציין גם כי באוגוסט Zoom תיקנה פגם קריטי של השחתת זיכרון ללא לחיצה, CVE-2026-53413, שנמצא על ידי A Security, וכי ביולי תיקנה את CVE-2026-53412, פגם קריטי ב־Windows שעלול לאפשר לתוקפים שלא עברו אימות לחטוף חשבונות משתמשים. Zoom מסרה כי אינה מודעת להתקפות המנצלות את הפגמים שתוקנו כעת.

למה זה חשוב ארגונים המפעילים את Zoom Workplace ב־Windows צריכים לוודא אילו גרסאות פרוסות ולהחיל את העדכונים, שכן לפי הדיווח הפגם הקריטי אינו דורש חשבון או הרשאות מיוחדות לניצולו. חוקרים העוקבים אחר פגמי Zoom הקודמים מאוגוסט ומיולי צריכים לראות בכך דפוס חוזר במשטח התקיפה של התוכנה, כאשר השחתת זיכרון וגישה ללא אימות מופיעות שתיהן בהתראות עוקבות.