Zoom Workplace có lỗ hổng cho phép leo thang đặc quyền từ xa
"Zoom released updates to address two security vulnerabilities (CVE-2026-108186 and CVE-2026-108187) in Zoom Workplace for Windows. These flaws, involving improper input validation and origin validation, could allow unauthenticated remote attackers to escalate privileges. Patches are available in versions 7.1.5 and 7.1.8."
Hai lỗ hổng bảo mật trong Zoom Workplace cho Windows có thể cho phép leo thang đặc quyền từ xa, gây rủi ro cho dữ liệu nhạy cảm.
Việc khai thác các lỗ hổng này có thể gây gián đoạn hoạt động, mất dữ liệu và ảnh hưởng đến uy tín của doanh nghiệp. Zoom Workplace là công cụ phổ biến, nên rủi ro ảnh hưởng diện rộng là có.
Zoom phát hành bản cập nhật để khắc phục hai lỗ hổng bảo mật (CVE-2026-108186 và CVE-2026-108187) trong Zoom Workplace cho Windows. Các lỗ hổng này, liên quan đến xác thực đầu vào và nguồn gốc không đúng cách, có thể cho phép kẻ tấn công từ xa, không được xác thực, leo thang đặc quyền. Bản vá có sẵn trong phiên bản 7.1.5 và 7.1.8.
Đây là vấn đề các kỹ sư và doanh nghiệp Việt Nam cần quan tâm vì Zoom Workplace được sử dụng rộng rãi trong giao tiếp và làm việc từ xa. Việc leo thang đặc quyền có thể dẫn đến truy cập trái phép vào dữ liệu nhạy cảm.
CVE-2026-108186 (CVSS score: 9.6) là lỗ hổng xác thực đầu vào không đúng cách, cho phép người dùng không xác thực leo thang đặc quyền qua mạng. CVE-2026-108187 (CVSS score: 8.1) là lỗ hổng xác thực nguồn gốc, cũng cho phép leo thang đặc quyền từ xa mà không cần quyền truy cập đặc biệt.
Việc khai thác thành công một trong hai lỗ hổng này có thể cho phép kẻ tấn công leo thang đặc quyền. Lỗ hổng CVE-2026-108187 ảnh hưởng đến Zoom Workplace cho Windows trước phiên bản 7.1.5, còn CVE-2026-108186 ảnh hưởng đến các phiên bản từ 7.1.0 trở xuống và trước 7.1.8.
Trước đó, vào tháng 7, Zoom cũng đã phát hành bản sửa lỗi cho một lỗ hổng xác thực đầu vào khác (CVE-2026-53412, CVSS score: 9.8) trong Zoom Workplace cho Windows, cho phép người dùng không xác thực kiểm soát tài khoản. Zoom không cho biết các lỗ hổng này đã bị khai thác ngoài thực tế, nhưng khuyến cáo người dùng nên cập nhật bản vá mới nhất để giảm thiểu rủi ro. [https://thehackernews.com/2026/11/critical-zoom-workplace-flaw-could.html]
Câu hỏi thường gặp
CVE-2026-108186 và CVE-2026-108187 là gì?
CVE-2026-108186 là lỗ hổng xác thực đầu vào không đúng cách, còn CVE-2026-108187 là lỗ hổng xác thực nguồn gốc. Cả hai đều có thể cho phép kẻ tấn công leo thang đặc quyền trên Zoom Workplace cho Windows.
Phiên bản Zoom Workplace nào bị ảnh hưởng?
CVE-2026-108187 ảnh hưởng đến các phiên bản trước 7.1.5, còn CVE-2026-108186 ảnh hưởng đến các phiên bản từ 7.1.0 trở xuống và trước 7.1.8.
Cách khắc phục những lỗ hổng này là gì?
Zoom đã phát hành bản vá trong phiên bản 7.1.5 và 7.1.8. Người dùng nên cập nhật lên phiên bản mới nhất để khắc phục.
Góc nhìn của Orange Cloud
Theo chúng tôi, các lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam sử dụng Zoom Workplace cho giao tiếp nội bộ và với khách hàng. Việc cập nhật lên phiên bản 7.1.8 (hoặc 7.1.5 nếu đang dùng phiên bản cũ hơn) là cần thiết để giảm thiểu rủi ro. Điều đáng chú ý là các lỗ hổng tương tự đã xuất hiện trước đó, cho thấy tầm quan trọng của việc duy trì cập nhật phần mềm thường xuyên.