Zoom Workplace có lỗ hổng nghiêm trọng cho phép leo thang đặc quyền từ xa

Zoom vừa phát hành bản cập nhật phần mềm nhằm khắc phục hai lỗ hổng bảo mật ảnh hưởng đến Zoom Workplace trên Windows, trong đó có một lỗi nghiêm trọng có thể dẫn tới leo thang đặc quyền trên các hệ thống bị ảnh hưởng.

Hai lỗ hổng cần lưu ý

• CVE-2026-108186 (điểm CVSS 9.6): lỗi kiểm tra dữ liệu đầu vào không đúng cách, cho phép người dùng chưa xác thực thực hiện leo thang đặc quyền thông qua truy cập mạng.
• CVE-2026-108187 (điểm CVSS 8.1): lỗi kiểm tra nguồn gốc (origin validation), cũng có thể bị lợi dụng để leo thang đặc quyền qua mạng mà không cần xác thực.

Nếu khai thác thành công một trong hai lỗ hổng, kẻ tấn công từ xa có thể nâng quyền mà không cần bất kỳ quyền hạn hay quyền truy cập đặc biệt nào.

Phạm vi ảnh hưởng

Hai lỗ hổng tác động đến các phiên bản khác nhau của Zoom Workplace cho Windows. Cụ thể, CVE-2026-108187 ảnh hưởng đến các phiên bản trước 7.1.5, trong khi CVE-2026-108186 tác động đến các phiên bản từ 7.1.0 đến trước 7.1.8.

Đáng chú ý, trước đó vào tháng 7, nền tảng hội nghị trực tuyến phổ biến này cũng đã phát hành bản vá cho một lỗi kiểm tra dữ liệu đầu vào không đúng cách khác trên Zoom Workplace cho Windows (CVE-2026-53412, điểm CVSS 9.8), lỗi này có thể cho phép người dùng chưa xác thực chiếm quyền điều khiển tài khoản.

Khuyến nghị

Zoom không đề cập đến việc các lỗ hổng này đã bị khai thác trong thực tế hay chưa. Tuy vậy, người dùng được khuyến cáo cài đặt các bản vá mới nhất để giảm thiểu các mối đe dọa tiềm ẩn.

Nguồn: The Hacker News