Две уязвимости с висока степен на опасност при валидацията на сертификати в клиентите на Zoom биха могли да позволят на атакуващи без идентификационни данни за вход да получат достъп до чувствителна информация през мрежата, според бюлетин за сигурност от 13 октомври 2026 г.

Проблемите засягат клиентите за Windows и функционалността „My Notes“ на настолни и мобилни платформи, което прави инсталирането на корекции за сигурност важно както за индивидуалните потребители, така и за корпоративните внедрявания.

Уязвимостите, проследявани като CVE-2026-108184 и CVE-2026-108185, имат CVSS v3.1 оценка от 7.4. И двете са докладвани от екипа на Zoom Offensive Security.

Предоставените бюлетини описват рискове от разкриване на информация, но не уточняват точните данни, които биха могли да бъдат компрометирани, не предоставят примерен сценарий за атака и не посочват дали някоя от уязвимостите вече е била експлоатирана.

Уязвимост при валидацията на сертификати в Zoom

Валидацията на сертификати помага на софтуера да проверява дали комуникира с надеждна услуга. Когато тези проверки се провалят, приложението може да приеме връзка, която би трябвало да отхвърли.

MITRE описва тази слабост като неправилна валидация на сертификати и пояснява, че тя може да позволи на атакуващи да се представят за доверени системи или да се намесят в защитени комуникации.

Този общ риск не установява точния метод на атака за конкретните уязвимости в Zoom. Публикуваните данни не посочват дали проблемът е свързан с доверието към сертификатите, проверките за изтичане на срока на валидност, идентичността на сървъра или друга стъпка от валидацията.

Твърдения, че атакуващите могат да крадат пароли, записи на срещи или всички потребителски бележки, биха надхвърлили наличните подробности. Описанията на Zoom изрично идентифицират разкриване на информация, а не отдалечено изпълнение на код или превземане на профили.

Според бюлетините за сигурност, публикувани от Zoom, CVE-2026-108184 е описана в бюлетин ZSB-26021 и засяга определени клиенти на Zoom за Windows.

Засегнатите версии на Zoom Workplace започват от 7.0.0 и остават уязвими преди версии 7.2.0 и 7.1.9 в съответните им клонове. Това разграничение по клонове е важно, тъй като правилната целева версия за обновяване зависи от инсталираната линия на продукта.

Същият дефект засяга Zoom Workplace VDI Client за Windows от версия 7.0.11 до версии преди 7.0.13. Zoom Rooms за Windows е засегнат от версия 7.0.0 до версии преди 7.1.7.

Бизнес потребителите трябва да проверят тези продукти поотделно, вместо да приемат, че обновяването на стандартното приложение Workplace автоматично отстранява уязвимостта и във VDI клиентите за виртуални работни плотове или в системите за конферентни зали.

CVE-2026-108185, описана в ZSB-26022, засяга валидацията на сертификати във функцията „My Notes“. При Windows засегнатият диапазон на Workplace започва от 7.1.5, а при macOS и Linux — от 7.0.5.

Всяка настолна платформа изисква версия 7.2.0 или 7.1.9 в съответния си клон, за да излезе от посочения засегнат диапазон. Zoom Workplace за Android и iOS също е засегнат от проблема в „My Notes“, започвайки от версия 7.0.5 до версии преди 7.2.0. Бюлетинът не пояснява дали са необходими специфични настройки на функцията за успешно експлоатиране.

Деактивирането на „My Notes“ не бива да се представя като потвърдено временно решение без допълнителни указания от Zoom. Потребителите трябва да инсталират най-новата поддържана версия от официалния Download Center на Zoom. Страницата с бюлетини за сигурност на Zoom също препоръчва софтуерът да се поддържа актуален, за да се получават корекции за сигурност и подобрения.

За управлявани среди засегнатите диапазони от версии предоставят практична отправна точка за проверка кои инсталации все още изискват внимание.

Администраторите трябва да потвърдят инсталираните версии след внедряване, включително на устройства извън основния офис и на системи, поддържани от отделни екипи.

Цялостното разпространение на корекциите трябва да обхване Windows Workplace, VDI, Rooms, както и засегнатите мобилни и настолни клиенти с „My Notes“, а не само най-видимите служебни лаптопи на служителите.

Тези разкрития следват предишни уязвимости в клиента на Zoom и отделен дефект, свързан с превземане на акаунти под Windows. Тези доклади предоставят полезен контекст, но методите им за атака и последствията от тях не бива да се приравняват към настоящите проблеми със сертификатите.