Критична вразливість Zoom Workplace дозволяє неавтентифіковане підвищення привілеїв (CVSS 9.6)

Що сталося

10 листопада 2026 року компанія Zoom Communications випустила позачергові оновлення безпеки, які закривають дві вразливості в десктопному застосунку Zoom Workplace для Windows. Головна з них — CVE-2026-108186 — отримала максимально високий бал за шкалою CVSS 3.1: 9.6 з 10 (Critical). Вона дозволяє зловмиснику, який не має жодного облікового запису і не пройшов автентифікацію, підвищити привілеї на цільовій системі через мережу.

Вразливість класифіковано як помилку перевірки вхідних даних (CWE-20, Improper Input Validation). Простіше кажучи, застосунок недостатньо ретельно перевіряє дані, які отримує з мережі, і це відкриває шлях для ескалації привілеїв — класу атак, який дозволяє звичайному користувачу отримати права адміністратора або системи.

Показово, що вразливість виявила внутрішня команда Zoom Offensive Security — підрозділ, який сама компанія створила для атаки на власні продукти ще до того, як це зроблять реальні зловмисники. Жодних ознак активної експлуатації в дикій природі на момент публікації не зафіксовано, і вразливість ще не внесена до каталогу Known Exploited Vulnerabilities (KEV) американського агентства CISA. Проте це не привід відкладати оновлення: історія подібних вад у Zoom показує, що зловмисники реагують на публікацію патчів швидко.

Чому ця новина заслуговує на увагу саме зараз? По-перше, бал 9.6 ставить вразливість у невелику групу «найсерйозніших» проблем року. По-друге, йдеться не про екзотичний серверний компонент, а про масовий клієнтський застосунок, який стоїть на мільйонах робочих станцій, включно з українськими. По-третє, вимога до автентифікації відсутня — атакуючому не потрібен ані обліковий запис у жертви, ані навіть обліковий запис Zoom взагалі.

Дві вразливості — технічний розбір

Оновлення від 10 листопада закриває одразу два дефекти, обидва стосуються лише Windows-версії Zoom Workplace.

CVE-2026-108186 (CVSS 9.6, Critical) — помилка перевірки вхідних даних. Уразливі версії: починаючи з 7.1.0 і до 7.1.8 не включно. Тобто якщо у вас встановлено Zoom Workplace для Windows версії 7.1.0–7.1.7, ви під загрозою. Виправлення міститься у версії 7.1.8. Вектор атаки: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.

CVE-2026-108187 (CVSS 8.1, High) — помилка валідації джерела (Origin Validation Error, CWE-346). Уразливі всі версії Zoom Workplace для Windows до 7.1.5. Цю ваду знайшов незалежний дослідник під псевдонімом shmoul — ще один аргумент на користь програм bug bounty, які Zoom активно підтримує. Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N.

Ключова спільна риса обох проблем: PR:N (No Privileges Required) — атакуючому не потрібен жоден обліковий запис. Для запуску експлойта достатньо мережевого доступу до цілі, а складність атаки оцінено як низьку (AC:L).

Чому бал 9.6: розбір CVSS-вектора

Аби зрозуміти, наскільки серйозна ця вразливість, розберімо вектор CVE-2026-108186 по елементах:

• AV:N (Attack Vector: Network) — атака йде через мережу, зловмиснику не потрібен фізичний доступ до комп'ютера жертви.
• AC:L (Attack Complexity: Low) — для успішної експлуатації не потрібні особливі умови чи «ідеальний» момент.
• PR:N (Privileges Required: None) — жодного попереднього доступу чи облікового запису.
• UI:R (User Interaction: Required) — єдиний стримувальний чинник: жертва має виконати якусь дію (наприклад, відкрити шкідливе посилання або прийняти запрошення в дзвінок). Zoom не уточнює, яку саме дію.
• S:C (Scope: Changed) — це найтривожніший елемент. Він означає, що вразливий компонент (клієнт Zoom) може бути використаний як «трамплін» для впливу на інші компоненти системи — саме тому йдеться про підвищення привілеїв, а не про звичайний збій.
• C:H / I:H / A:H — високий вплив на конфіденційність, цілісність і доступність.

Саме поєднання «мережа + без привілеїв + зміна scope + повний вплив» дає такий високий бал. Для порівняння, друга вразливість (CVE-2026-108187) отримала нижчий бал 8.1, оскільки її scope незмінний (S:U) і вона не впливає на доступність (A:N).

Як може виглядати реальна атака

Попри те, що Zoom не розкриває технічних деталей експлойта (щоб не давати готовий інструментарій зловмисникам до того, як усі встигнуть оновитися), з класу вразливості можна скласти уявлення про сценарій атаки.

Зловмисник може надіслати цілі шкідливий мережевий пакет або спеціально сформоване посилання. Оскільки автентифікація не потрібна, атакуючий може діяти навіть без жодного запрошення на нараду — достатньо, щоб користувач «клюнув» на потрібну дію (наприклад, клікнув лінк під виглядом запрошення на дзвінок). Після експлуатації зловмисник отримує можливість запускати код із вищими привілеями, ніж мав би, — а це вже шлях до встановлення шкідливого ПЗ, викрадення даних або повного контролю над машиною.

Окремо варто наголосити: обидві вразливості стосуються саме Windows-клієнта. Користувачі macOS, Linux, iOS та Android цього конкретного патча не потребують для цих CVE, але загальна рекомендація оновлювати Zoom до останньої версії залишається чинною для всіх платформ.

Хто в зоні ризику

Zoom Workplace — один із найпоширеніших інструментів відеозв'язку у світі. В Україні ним активно користуються компанії, державні установи, заклади освіти та приватні користувачі — від щоденних робочих нарад до онлайн-лекцій у вишах. Це означає, що потенційна «поверхня атаки» величезна.

Особливу увагу варто звернути організаціям, де Windows-машини працюють під обліковими записами з локальними правами адміністратора, — це поширена практика, яка робить ескалацію привілеїв миттєвою. Компаніям також варто перевірити, чи не встановлені на корпоративних пристроях старі версії Zoom (7.1.0–7.1.7), — особливо на машинах, які рідко оновлюються або стоять у «заморожених» образах.

Якщо у вас чи у ваших співробітників є підозра, що облікові дані могли бути скомпрометовані під час минулих інцидентів, перевірте їх через безкоштовну перевірку витоків cyberpeople.tech.

Що робити: оновіться до версії 7.1.8

Найголовніша і фактично єдина повна міра захисту — оновити Zoom Workplace для Windows до версії 7.1.8 або новішої. Зробити це можна кількома способами:

1. Автооновлення. Відкрийте Zoom → клацніть на аватар профілю → «Перевірити наявність оновлень». Застосунок сам завантажить і встановить патч.
2. Вручну. Завантажте найновіший інсталятор з офіційного центру завантажень zoom.us/download і встановіть поверх наявної версії.
3. Корпоративним адміністраторам. Розгорніть оновлення через централізоване керування (MSI/масове розгортання) і примусово оновіть усі клієнти, включно з тими, що стоять на рідко використовуваних робочих станціях.

Кілька важливих нюансів:

• Оновлення лише зупиняє подальшу експлуатацію. Якщо машина вже була скомпрометована, патч не відкотить уже зроблені зміни — нові локальні адміністратори, встановлене ПЗ чи запущені процеси залишаться. Тому після оновлення варто перевірити локальну групу адміністраторів на предмет невідомих облікових записів.
• Версія 7.1.8 закриває лише CVE-2026-108186. Для CVE-2026-108187 достатньо 7.1.5, але оновлення до 7.1.8 закриває обидві проблеми одразу.
• Не завантажуйте інсталятори зі сторонніх сайтів — лише з офіційного домену zoom.com/zoom.us, щоб не отримати «заражений» дистрибутив.

Хто знайшов вади та чому це важливо

Варто звернути увагу на те, як саме виявили обидві проблеми. Критичну CVE-2026-108186 виявила власна команда Zoom Offensive Security — внутрішній red-team компанії, який атакує власні продукти за методологією реальних зловмисників. Другу ваду, CVE-2026-108187, знайшов незалежний дослідник під псевдонімом shmoul — імовірно, у межах публічної програми bug bounty, яку Zoom підтримує для зовнішніх дослідників.

Це хороша ілюстрація того, як «двошарова» модель безпеки — внутрішній offensive-підрозділ плюс винагорода для зовнішніх дослідників — дозволяє знаходити вразливості до того, як їх виявлять кримінальні угруповання. Саме завдяки такому підходу обидві вади були виправлені й розкриті в контрольованому порядку, без ознак експлуатації в дикій природі.

Для українських компаній це також практичний урок: підтримувати власну програму винагород за вразливості (bug bounty) чи принаймні канал для етичного розкриття (responsible disclosure) — значно дешевше, ніж розбирати наслідки реального зламу.

Чек-лист для адміністраторів

Якщо ви відповідаєте за парк Windows-пристроїв у компанії, ось покроковий план на найближчі 24 години:

1. Інвентаризуйте версії. Зберіть список усіх машин із встановленим Zoom Workplace та визначте, які з них працюють на 7.1.0–7.1.7.
2. Розгорніть 7.1.8. Використайте централізоване розгортання (MSI, Intune, SCCM або MDM), примусово оновивши всі клієнти, а не лише ті, що активно використовуються.
3. Перевірте локальні привілеї. Після оновлення перевірте групи локальних адміністраторів на ключових машинах на предмет невідомих облікових записів — патч не скасовує вже виконані зловмисником дії.
4. Повторюйте регулярно. Встановіть правило: критичні патчі застосовуються позапланово, а не лише в межах щомісячного «вікна оновлень».

Чому це важливо і який висновок

Це вже не перший випадок, коли Zoom стикається з критичними проблемами перевірки вхідних даних у Windows-клієнті. У липні 2026 року компанія випустила патч для CVE-2026-53412 (CVSS 9.8) — так само помилки валідації введення в Zoom Workplace для Windows, яка дозволяла неавтентифікованому користувачу перебрати контроль над обліковими записами. Повторення подібних вад за кілька місяців — нагадування, що навіть зрілі та популярні продукти потребують регулярного оновлення, а не лише реакції на конкретний інцидент.

Головні висновки для користувачів і бізнесу:

• Оновлюйте негайно. Критичність 9.6 і відсутність вимоги до автентифікації — достатній привід не чекати планового вікна оновлень.
• Мінімізуйте права. Не тримайте повсякденні робочі облікові записи з правами адміністратора — це різко знижує ефект будь-якої ескалації привілеїв.
• Стежте за оновленнями постачальників. Підпишіться на security bulletins використовуваного ПЗ; у випадку Zoom це сторінка Security Bulletins на zoom.com.
• Підвищуйте обізнаність команди. Більшість подібних атак вимагає, щоб користувач виконав певну дію (UI:R), тож базова кібергігієна — не відкривати підозрілі посилання — лишається першою лінією оборони. Тим, хто хоче системно підвищити рівень команди, стане в пригоді наш матеріал про навчання з кібербезпеки.

Критична вразливість у Zoom Workplace — яскраве нагадування про те, що навіть найзручніший інструмент щоденного користування потребує тієї ж уваги до безпеки, що й будь-яке серверне ПЗ. Оновлення до 7.1.8 займає кілька хвилин, але може вберегти від компрометації всієї робочої станції.