Zoom publica adesivos para CVE-2026-108186 e CVE-2026-108187 em Zoom Workplace para Windows

O Zoom publicou correcções para duas vulnerabilidades de segurança no Zoom Workplace para o Windows que, de acordo com os avisos oficiais, permitem a um atacante remoto escalar privilégios sem autenticação prévia. Os problemas estão registrados como CVE-2026-108186 (CVSS 9.6) e CVE-2026-108187 (CVSS 8.1), e afetam diferentes ramos da linha 7.1 do cliente: a primeira impacta versões desde 7.1.0 até 7.1.7 inclusive, e a segunda afeta versões anteriores à 7.1.5; Zoom publicou adesivos que corrigem ambos os erros. Estas são as notas confirmadas pela empresa e pelas entradas públicas de vulnerabilidade: CVE-2026-108186 é uma vulnerabilidade de validação de entradas que pode permitir escalada de privilégios via acesso de rede, e CVE-2026-108187 é uma falha de validação da origem com o mesmo efeito geral. A informação pública do Zoom e dos registos CVE para detalhes técnicos e estados de correcção pode ser consultada, por exemplo, no centro de segurança do Zoom e na base de dados CVE do MITRE: https://explore.zoom.us/en/security/ e https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-108186.

Tecnicamente, ambas as vulnerabilidades são classificadas como problemas de validação: a primeira (improper input validation) indica que o código do cliente não verifica corretamente dados entrantes antes de processar, o que pode permitir a um ator remoto provocar comportamentos não previstos (leitura ou execução fora de contexto) e, consequentemente, elevar privilégios. A segunda (origin validation) sugere que o cliente confia em origens ou cabeçalhos sem verificar sua autenticidade, permitindo a solicitação manipulada parecer legítimas e alcançar código com maiores privilégios. Na prática, isso significa que um atacante que possa comunicar com o componente afetado do cliente Zoom por rede (local ou remoto, dependendo da configuração e exposição do computador) poderia executar ações no sistema com direitos superiores aos do processo comprometido.

Atos confirmados: O Zoom lançou atualizações que corrigem CVE-2026-108186 e CVE-2026-108187; as CVSS públicas são 9.6 e 8.1 respectivamente; as versões afetadas correspondem à 7.1.x conforme indicado e a empresa não informou exploração ativa na natureza até à publicação do adesivo. Além disso, em julho a empresa já havia adesivos outra vulnerabilidade crítica na mesma família de produtos (CVE-2026-53412, CVSS 9.8), o que mostra um padrão de alta gravidade em falhas recentes do cliente para Windows.

O que ainda está por confirmar ou é estimativa razoável: O Zoom não forneceu detalhes públicos sobre a complexidade exata da exploração, se existem exploits públicos ou privados circulando, nem se a exploração requer acesso à rede local, a serviços expostos na Internet ou a condições específicas do sistema (por exemplo, configurações concretas de firewall). Pela natureza descrita — "escalada de privilégios via acesso de rede" — pode-se estimar que um atacante precisa chegar a um porto ou interface do cliente que processa pedidos de rede; no entanto, se essas interfaces estiverem restritas por políticas corporativas ou firewalls, o risco prático diminui. Também é incerto o que vetores de persistência ou payloads concretos permitiria executar cada falha em exploração real.

Quem afeta isto? Principalmente organizações e usuários que executam Zoom Workplace no Windows e que não aplicaram as correções. Uma vez que a ameaça permite uma escalada de privilégios sem autenticação, os equipamentos geridos com políticas laxas de rede ou com clientes que aceitam conexões de rede por defeito são os mais expostos. Em ambientes corporativos, uma equipe comprometida por esta via poderia ser pivote para ataques mais amplos contra a rede interna; em equipamentos pessoais, a ameaça se limita ao alcance do que um atacante consiga com os privilégios elevados (instalação de malware, modificação de arquivos, registro de atividade, etc.).

Consequências reais potenciais incluem comprometimento do sistema com privilégios elevados, instalação de malware persistente, extração de credenciais locais e movimento lateral em redes corporativas. A gravidade indicada pelos CVSS reflete que, de se explorar em ambientes sem mitigações, estas falhas poderiam permitir a atacantes executar código com privilégios mais altos do que os do usuário e evitar controles que dependem do modelo de privilégios do sistema operacional.

Acções concretas e priorizadas que deveria tomar o leitor agora mesmo: 1) Aplicar os adesivos imediatamente. Atualice Zoom Workplace para Windows a versão que Zoom publica como corrigida (instale a versão 7.1.8 ou posterior se seu ambiente o permitir e verificar que ambas as CVE ficam cobertas). Para ambientes corporativos, a atualização é implantada através do seu sistema de gestão de sistemas transdérmicos ou através dos instaladores MSI oficiais e valide o hash do instalador quando possível. 2) Forçar e verificar a política de actualizações automáticas nos clientes para reduzir a janela de exposição. 3) Rever e endurecer controlos de rede: bloco ou limite o acesso a serviços de clientes de videoconferência a partir de redes não confiáveis, aplique segmentação para que os clientes de usuário não exponham interfaces de gerenciamento diretamente à Internet e verifique regras de firewall para mitigar tentativas de acesso a partir de redes não corporativas. 4) Monitorizar e procurar indicadores: examine registros de EDR/antivírus, eventos de criação de serviços win32, elevações de privilégio incomuns e tráfego de rede para/desde endpoints Zoom fora do habitual. 5) Testes e auditorias: execute uma digitalização de vulnerabilidades no seu parque de dispositivos para identificar instalações de Zoom com versões afetadas e corrigi-las prioritariamente.

Se o adesivo não puder ser aplicado imediatamente, reduza o risco limitando a exposição dos equipamentos com Zoom: desative serviços desnecessários do cliente, feche portos que o cliente não deva expor e aplique políticas de execução restritas. Para administradores, recomenda-se coordenar com a equipe de segurança a criação de regras temporárias de detecção em EDR e SIEM que alertem sobre comportamentos típicos de escalagem de privilégios (creação de contas de sistema, modificação de ACLs, persistência via serviços).

Em resumo, A actualização é a medida prioritária e não uma opção. Essas vulnerabilidades têm pontuações altas e permitem escalada de privilégios sem autenticação, pelo que qualquer equipe Windows com versões 7.1.x de Zoom Workplace que não tenha sido adesivo deve ser tratado como de risco alto até que a remediação seja confirmada. Para mais informações e verificação de estados de adesivos, consulte as páginas de segurança oficiais do Zoom e as entradas CVE públicas: https://explore.zoom.us/en/security/ e https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-108187.