Zoom, Windows sürümündeki Workplace uygulamasını etkileyen iki güvenlik açığı için yama yayımladı. Her iki kusur da ağ üzerinden kimlik doğrulaması olmadan yetki yükseltmeye izin verebiliyor; etkilenme aralığı sürüme göre değişiyor.
Şirkete göre CVE-2026-108186 numaralı açık, Zoom Workplace for Windows 7.1.0 ile 7.1.8 öncesi sürümleri etkiliyor. CVSS puanı 9.6 olan bu hata, hatalı giriş doğrulamasından kaynaklanıyor ve uzaktaki bir saldırganın ağ erişimi üzerinden ayrıcalıklarını artırmasına kapı aralayabiliyor. Açığın NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-108186
İkinci kusur Windows sürümlerinde görülüyor
Diğer sorun CVE-2026-108187 olarak izlendi. Bu açık, CVSS 8.1 puanına sahip ve Zoom Workplace for Windows’un 7.1.5 öncesi sürümlerinde bulunuyor. Raporda, “origin validation” tarafındaki hatanın yine kimlik doğrulaması olmayan bir kullanıcının ağ üzerinden yetki yükseltmesine yol açabileceği belirtiliyor. NVD bağlantısı: https://nvd.nist.gov/vuln/detail/CVE-2026-108187
İstismar edilirse ne oluyor
Zoom’un güvenlik bültenlerine göre iki açığın herhangi birinin başarılı biçimde kullanılması, saldırgana özel bir izin ya da ön erişim gerektirmeden ayrıcalık artışı sağlayabilir. Şirket, kullanıcıların en güncel yamaları kurarak riskleri azaltabileceğini vurguluyor.
Bu bulgular, Zoom’un Temmuz ayında duyurduğu başka bir Windows açığını da hatırlatıyor. CVE-2026-53412 olarak izlenen, yine hatalı giriş doğrulaması kaynaklı ve CVSS 9.8 puanlı o zafiyet, kimlik doğrulaması olmayan bir kullanıcının hesapları ele geçirmesine izin verebiliyordu. Zoom, son iki açık için ise vahşi ortamda istismar gördüğüne dair bir bilgi paylaşmadı.
Güvenlik bültenleri 11 Ekim 2026 tarihli ilk yayınla duyuruldu. Zoom, Windows kullanıcılarını güncellemeleri doğrudan resmi indirme sayfası üzerinden yüklemeye çağırıyor.
Kaynaklar
- ZSB-26023 | Zoom (zoom.com)
- ZSB-26024 | Zoom (zoom.com)