Cảnh báo lỗ hổng nghiêm trọng trên Zoom Workplace cho phép leo thang đặc quyền từ xa

Zoom mới đây đã phát hành các bản cập nhật phần mềm nhằm giải quyết hai lỗ hổng bảo mật quan trọng ảnh hưởng đến ứng dụng Zoom Workplace trên hệ điều hành Windows. Trong đó, có một lỗ hổng được đánh giá ở mức nghiêm trọng, có khả năng cho phép kẻ tấn công thực hiện leo thang đặc quyền trên hệ thống bị ảnh hưởng.

Chi tiết các lỗ hổng

Hai lỗ hổng được công bố bao gồm:

• CVE-2026-108186 (Điểm CVSS: 9.6): Lỗ hổng liên quan đến việc xác thực đầu vào không đúng cách (improper input validation), cho phép người dùng không cần xác thực có thể thực hiện leo thang đặc quyền thông qua truy cập mạng.
• CVE-2026-108187 (Điểm CVSS: 8.1): Lỗ hổng xác thực nguồn gốc (origin validation), cũng cho phép kẻ tấn công từ xa leo thang đặc quyền mà không cần quyền truy cập đặc biệt.

Việc khai thác thành công các lỗ hổng này có thể giúp kẻ tấn công chiếm quyền kiểm soát hệ thống mà không cần bất kỳ sự tương tác hay quyền hạn nào từ người dùng.

Phạm vi ảnh hưởng và khuyến nghị

Theo thông tin từ nhà sản xuất, lỗ hổng CVE-2026-108187 ảnh hưởng đến Zoom Workplace cho Windows các phiên bản trước 7.1.5. Trong khi đó, CVE-2026-108186 tác động đến các phiên bản từ 7.1.0 đến trước 7.1.8.

Mặc dù Zoom chưa ghi nhận bằng chứng về việc các lỗ hổng này đang bị khai thác trong thực tế (in the wild), người dùng và các quản trị viên hệ thống được khuyến cáo nên cập nhật lên phiên bản mới nhất ngay lập tức để đảm bảo an toàn. Trước đó, vào tháng 7, Zoom cũng đã phải xử lý một lỗ hổng nghiêm trọng khác (CVE-2026-53412) liên quan đến xác thực đầu vào, vốn có thể cho phép kẻ tấn công chiếm quyền điều khiển tài khoản người dùng.

Nguồn tham khảo: The Hacker News