Zoom פרסמה תיקונים לשתי פגיעויות באפליקציית Zoom Workplace ל-Windows. בשתיהן תוקף לא מאומת עשוי להעלות הרשאות מרחוק. אחת מהן מדורגת קריטית, ולכן כדאי לעדכן ברחבי הארגון.
| שדה | פגיעות ראשונה | פגיעות שנייה |
|---|---|---|
| מזהה | CVE-2026-108186 | CVE-2026-108187 |
| סוג | בדיקת קלט לקויה | בדיקת מקור (origin) לקויה |
| חומרה (CVSS) | 9.6 – קריטית | 8.1 – חמורה |
| גרסאות מושפעות | 7.1.0 – 7.1.7 | גרסאות שקדמו ל-7.1.5 |
| מנוצל בפועל | לא פורסם | לא פורסם |
| סטטוס תיקון | תוקן, עדכנו לגרסה העדכנית | תוקן, עדכנו לגרסה העדכנית |
מה קרה
לפי עלוני האבטחה של Zoom (ZSB-26023 ו-ZSB-26024), שתי הפגיעויות מאפשרות לתוקף לא מאומת להעלות הרשאות דרך הרשת. Zoom לא מציינת שהן נוצלו בפועל, ולא פורסמו פרטים טכניים על דרך הניצול.
זו לא הפעם הראשונה השנה: ביולי תוקנה במוצר פגיעות קודמת בציון 9.8 שאפשרה השתלטות על חשבונות.
נקודות לשים לב
- בדוק את הגרסה המותקנת בתחנות Windows. כל גרסה בטווח 7.1.0 – 7.1.7 חשופה לפגיעות הקריטית.
- עדכן לגרסה העדכנית של Zoom Workplace. טווח הגרסאות החשופות מרמז שהתיקון לקריטית הוא בגרסה 7.1.8, אך אמת זאת מול העלון.
- לא פורסם פתרון מעקף, ולכן עדכון הוא הדרך היחידה להפחית את הסיכון.
- אין עדות לניצול בפועל נכון לעכשיו, אך פגיעות לא מאומתת בציון 9.6 ראויה לתעדוף בניהול הטלאים.
מקורות: The Hacker News · עלון האבטחה של Zoom
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
