Zoom исправила в Zoom Workplace for Windows две уязвимости повышения привилегий. Первая, CVE-2026-108186, получила оценку CVSS 3.1 9.6 и критический уровень: она позволяет неаутентифицированному пользователю повысить привилегии по сети, хотя и требует участия пользователя. Вторая, CVE-2026-108187, оценена в 8.1. Обе закрыты в версии 7.1.8, сведений об эксплуатации в реальных атаках вендор не приводит.
Что не так с проверками ввода
Zoom Workplace - клиент для встреч, чатов и звонков, который устанавливают на рабочие станции. Повышение привилегий внутри него опасно тем, что приложение работает рядом с пользовательскими данными и корпоративными учётными записями. Ошибка в проверке входных данных или в проверке origin может превратить обычный запрос в способ получить больше прав, чем есть у текущего пользователя (см. предыдущий разбор уязвимостей Zoom).
Первая ошибка - CVE-2026-108186, некорректная проверка входных данных (CWE-20). По описанию Zoom, неаутентифицированный пользователь может повысить привилегии через сетевой доступ. Взаимодействие пользователя требуется, но уровень критичности всё равно максимальный: CVSS 3.1 - 9.6, критический. В записи CVE отдельно отмечено, что область действия меняется, то есть последствия выходят за пределы уязвимого компонента. Уязвимы версии Zoom Workplace for Windows начиная с 7.1.0 и до 7.1.8.
Вторая ошибка - CVE-2026-108187, ошибка проверки origin (CWE-346). Здесь тоже неаутентифицированный сетевой вектор и участие пользователя, но область действия не меняется. Оценка CVSS 3.1 - 8.1, высокий уровень. Уязвимы версии до 7.1.5. Обе проблемы исправлены в Zoom Workplace for Windows 7.1.8 и новее.
Ошибки нашли разные команды: первую - Zoom Offensive Security, вторую - исследователь shmoul. Оба бюллетеня выпущены 10 ноября 2026 года. Упоминаний об эксплуатации в реальных атаках в них нет. Это не отменяет срочности обновления: речь о повышении привилегий в клиенте, который стоит на множестве рабочих станций, а бюллетень уже публичный.
Термины из бюллетеней важны для оценки. Некорректная проверка входных данных означает, что приложение принимает значение, которое не должно проходить проверку, и дальше работает с ним как с доверенным. Ошибка проверки origin - это когда приложение неверно определяет источник запроса или окна и считает его своим, хотя на самом деле он чужой. В обоих случаях атакующему не нужна учётная запись Zoom, но нужно заставить пользователя выполнить определённое действие.
Условия эксплуатации
Оба сценария сетевые: атакующему нужен доступ к сетевому взаимодействию с клиентом, но не нужна учётная запись Zoom. Взаимодействие пользователя требуется - без него, судя по векторам, атака не срабатывает. Конкретный сценарий и точные компоненты Zoom в бюллетенях не раскрывает, поэтому защищаться приходится обновлением, а не точечной настройкой.
У первой ошибки в векторе указано изменение области действия. Это значит, что последствия не ограничиваются процессом, в котором возникла ошибка, и могут затронуть смежные компоненты. У второй ошибки область не меняется, но влияние на конфиденциальность и целостность высокое, а влияние на доступность отсутствует.
Чем это грозит компании
Клиент Zoom стоит на рабочих станциях сотрудников, и повышение привилегий внутри него не обязательно означает полный контроль над машиной: многое зависит от прав пользователя и от того, как настроена изоляция процесса. Но даже частичное повышение прав полезно в цепочке атак, например чтобы добраться до данных, которые обычному пользователю недоступны, или обойти ограничения корпоративных политик.
Поэтому обновление стоит рассматривать не как формальность для одного приложения, а как часть гигиены рабочего места. В большом парке важнее не скорость установки на одном устройстве, а полнота покрытия: старые сборки обычно остаются там, где клиент редко перезапускают или где версию закрепили вручную.
Затронутые версии
Уязвимы Zoom Workplace for Windows 7.1.0-7.1.7 для первой ошибки и версии до 7.1.5 для второй. Исправление одно - 7.1.8 и новее. У первой ошибки нижняя граница указана явно, у второй её нет: в записи CVE перечислены все версии ниже 7.1.5. В корпоративной среде стоит проверить версии на всех рабочих станциях: клиент обновляется автоматически не всегда, а старые сборки могут оставаться на машинах, которые редко перезапускают.
Проверить версию можно в меню клиента, обычно через настройки и раздел «О программе». Если обновления централизованы, нужно убедиться, что пакет 7.1.8 доехал до всех групп устройств, включая удалённые филиалы и виртуальные рабочие места. Отдельно стоит посмотреть, не закреплены ли старые версии политиками и не отключено ли автообновление на части парка.
Что делать
Обновить клиент до 7.1.8 и новее и проверить, что патч применился на всех устройствах. С учётом критической оценки первой ошибки обновление лучше не откладывать: сведений об эксплуатации нет, но повышение привилегий в популярном клиенте - привлекательная цель, особенно когда бюллетень уже опубликован.
Отдельно проверьте сценарии, где версия клиента зафиксирована: образы виртуальных рабочих мест, золотые образы и терминальные серверы. Если базовый образ не обновлён, новая версия не появится на машинах, которые из него создаются. Публикация бюллетеня снижает порог для тех, кто захочет разобраться в ошибке, поэтому окно между выходом патча и обновлением парка стоит сокращать.
Других требований вендор не выдвигает. Порядок действий: инвентаризация версий Workplace for Windows, установка 7.1.8 и новее, проверка применения через несколько дней, повторная сверка версий в группах устройств. Если обновление централизовано, стоит убедиться, что политика не оставляет исключений для отдельных подразделений.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-108186
- https://www.cve.org/CVERecord?id=CVE-2026-108187
- https://www.zoom.com/en/trust/security-bulletin/zsb-26023/
- https://www.zoom.com/en/trust/security-bulletin/zsb-26024/
