Четыре уязвимости в клиентах Zoom ведут к раскрытию данных и повышению привилегий

Уязвимости в клиентах Zoom Workplace, Zoom Rooms и Zoom Phone открывают путь к раскрытию информации и повышению привилегий. Затронуты Windows, macOS, Linux, Android и iOS. Самые высокие оценки получили переполнение буфера в функции Zoom Phone и некорректная авторизация в Android-клиенте.

Уязвимости в Zoom Workplace, Zoom Rooms и Zoom Phone

Все четыре бюллетеня Zoom обнародовал 13 октября 2026 года. Компания отнесла их к высокому уровню угрозы: рейтинг CVSS лежит в диапазоне от 7,4 до 8,1. Подтверждений, что эти уязвимости использовали в реальных атаках, в описаниях нет. Демонстраций эксплойтов Zoom тоже не приводит. Ни одна из четырёх проблем не получила статус критической.

Проверка сертификатов в функции My Notes

Одна из проблем скрыта в функции My Notes, где клиент неверно проверяет сертификаты. CVE-2026-108185 получила оценку 7,4. Атака идёт по сети, не требует учётной записи и не требует действий пользователя. Сложность при этом высокая: злоумышленнику нужно создать особые условия в сети. По описанию Zoom, исход атаки - раскрытие информации.

Затронуты сборки Zoom Workplace для Windows начиная с версии 7.1.5, а также клиенты для macOS, Linux, Android и iOS начиная с 7.0.5. Исправление развели по веткам: обновиться нужно до 7.2.0 либо до 7.1.9. Границы у платформ разные, поэтому администраторам важно сопоставить установленный клиент со своей веткой.

Речь идёт именно о функции заметок, а не обо всех каналах связи Zoom. Zoom Rooms, доступ через браузер и остальные продукты вендора в этот бюллетень не попали. При этом разработчики не уточняют, какие именно проверки сертификатов отказывают и какие соединения затронуты. Метрики вектора говорят о возможном влиянии и на целостность данных, хотя в тексте описания упоминается только раскрытие информации. Из-за этого часть условий атаки остаётся неизвестной, а практический сценарий приходится оценивать приблизительно.

Клиенты Zoom для Windows и Zoom Rooms

Во втором бюллетене описана та же ошибка проверки сертификатов, но в клиентах для Windows. Кроме Zoom Workplace начиная с версии 7.0.0 в список попали Zoom Workplace VDI Client и Zoom Rooms для Windows. Оценка снова 7,4, вектор совпадает с первым случаем.

Границы исправлений здесь не совпадают. VDI Client закрывает версия 7.0.13, Zoom Rooms - 7.1.7, сам Zoom Workplace - ветки 7.2.0 и 7.1.9. Если проверять парк машин по одной общей версии, часть клиентов останется без защиты. VDI Client применяют там, где рабочие места вынесены на серверы, а Zoom Rooms стоят в переговорных, поэтому оба продукта часто живут вне обычного контура обновлений.

Переполнение буфера в Zoom Phone

Наиболее серьёзный по метрикам случай - переполнение буфера в функции Zoom Phone внутри клиентов Zoom Workplace. CVE-2026-53420 получила 8,0. Уязвимость позволяет неаутентифицированному пользователю повысить привилегии через сетевой доступ.

Затронуты все поддерживаемые платформы до версии 7.2.0. Уязвимость нашёл Касиф ДеКель из компании Neo Security, то есть сторонний исследователь, а не внутренняя команда Zoom. Отдельная ветка исправлений для этой проблемы не предусмотрена: закрывает её та же сборка 7.2.0.

Некорректная авторизация в Android-клиенте

В Zoom Workplace для Android до версии 7.2.1 обработчик пользовательских схем ссылок проверяет права неверно. CVE-2026-53418 получила 8,1 - самую высокую оценку среди четырёх. Атака идёт по сети, но требует, чтобы пользователь открыл специально составленную ссылку. Итог - повышение привилегий.

Нашёл уязвимость внешний исследователь Димитриос Валсамарас. Описание называет атакующего неаутентифицированным, хотя вектор учитывает взаимодействие с интерфейсом. Для Android это единственная из четырёх проблем, исправление которой вышло за пределы общей ветки 7.2.0.

Обновления и ограничение риска

Практический шаг один - поставить свежие сборки. Настольным платформам подходят ветки 7.2.0 и 7.1.9, Android-клиенту - 7.2.1. Zoom Rooms для Windows закрывает 7.1.7, VDI Client - 7.0.13. Дистрибутивы выложены на zoom.us/download.

Администраторам имеет смысл сверить каждый установленный клиент с его собственной веткой. Это единственный способ убедиться, что исправленные сборки разошлись по машинам. Обходных мер и настроек, снижающих риск без обновления, в бюллетенях нет.

Две уязвимости закрыла внутренняя команда Zoom Offensive Security, ещё две нашли сторонние исследователи. Общая черта у всех четырёх - скупость описаний. Zoom не раскрывает, какие проверки сертификатов ломаются, какая информация может утечь и насколько легко воспроизвести атаку.

Высокие оценки в таких случаях часто опираются на теоретический вектор, а не на подтверждённую эксплуатацию. Пока вендор не уточнит условия атаки, приоритет стоит отдавать тем клиентам, которые доступны из недоверенных сетей: переговорным, серверным рабочим местам и мобильным устройствам сотрудников.