Zoom выпустила пакет обновлений безопасности для Windows-версий своих продуктов, закрыв четыре бреши — одну критическую и три с высокой степенью опасности. Компания опубликовала соответствующее уведомление на этой неделе, и самая серьёзная из проблем получила максимально возможную по практическим меркам оценку опасности.
Речь идёт о CVE-2026-53412 с показателем CVSS 9.8 из 10 — это уже почти потолок шкалы. Причина уязвимости банальна и одновременно опасна: некорректная проверка входных данных. Из-за этого недостатка неаутентифицированный пользователь способен получить доступ к чужой учётной записи, просто имея сетевой доступ к системе жертвы. Никаких паролей, никакой предварительной авторизации — достаточно отправить специально сформированные данные, и защита клиента даёт сбой. Под удар попадают сразу три продукта: десктопный клиент Zoom для Windows, VDI-клиент для Windows и Zoom Meeting SDK для Windows.
Для тех, кто использует Zoom в связке с виртуальными рабочими столами через VDI-плагин, есть отдельная проблема — CVE-2026-53411 с оценкой 7.8. Здесь сценарий атаки менее пугающий, но тоже неприятный: пользователь, уже имеющий учётную запись в системе, может повысить свои привилегии через локальный доступ. Уязвимость касается версий плагина Zoom Workplace VDI Plugin для Windows до 6.6.14 включительно. Причина всё та же — недостаточная фильтрация входных данных.
Третья по значимости брешь — CVE-2026-53410 с рейтингом 7.0 — относится к классу так называемых TOCTOU-уязвимостей, то есть состояний гонки между моментом проверки и моментом использования ресурса. Проблема проявляется во время установки и удаления некоторых клиентов Zoom для Windows. Пока система проверяет права доступа к файлу, злоумышленник может подменить этот файл на вредоносный — и система, полагаясь на устаревшую проверку, выполнит уже подменённый код. Итог тот же: авторизованный локальный пользователь получает возможность повысить свои привилегии в системе.
Четвёртая уязвимость, CVE-2026-53409 с оценкой 7.8, затрагивает Zoom Rooms для Windows в версиях до 7.1.0. Здесь проблема кроется в неправильном управлении привилегиями — программа выдаёт пользователю больше прав, чем должна, и снова через локальный доступ авторизованный пользователь может эскалировать свои полномочия до более высокого уровня.
Помимо четырёх основных CVE, в бюллетене Zoom отдельным списком идут продукты и версии с минимальной оценкой 0.5 — по сути, это сопутствующие исправления, не тянущие на отдельный номер уязвимости, но всё же требующие обновления. Сюда попали клиент Zoom Workplace VDI для Windows версий ниже 6.5.17 и 6.6.14 (в зависимости от ветки), сам VDI-плагин тех же версий, Zoom Rooms для Windows ниже версии 7.0.5, а также модуль удалённого управления Remote Control для Zoom Contact Center для Windows версий ниже 7.0.0.
На момент публикации уведомления никаких данных об эксплуатации этих четырёх уязвимостей в реальных атаках зафиксировано не было. Это, впрочем, слабое утешение — учитывая критический рейтинг главной проблемы и тот факт, что информация о ней уже стала публичной, окно для атак может открыться быстро, как только злоумышленники разберут детали патча и восстановят логику уязвимости методом реверс-инжиниринга.
Пользователям корпоративных и домашних версий Zoom для Windows стоит обновить клиенты как можно скорее — благо процедура стандартная и не требует специальных знаний. Особое внимание стоит уделить организациям, использующим VDI-инфраструктуру и Zoom Rooms в переговорных комнатах: там локальный доступ к терминалам зачастую менее контролируем, чем доступ к личным рабочим станциям сотрудников, а значит, риск эскалации привилегий на практике выше, чем может показаться на бумаге.
Речь идёт о CVE-2026-53412 с показателем CVSS 9.8 из 10 — это уже почти потолок шкалы. Причина уязвимости банальна и одновременно опасна: некорректная проверка входных данных. Из-за этого недостатка неаутентифицированный пользователь способен получить доступ к чужой учётной записи, просто имея сетевой доступ к системе жертвы. Никаких паролей, никакой предварительной авторизации — достаточно отправить специально сформированные данные, и защита клиента даёт сбой. Под удар попадают сразу три продукта: десктопный клиент Zoom для Windows, VDI-клиент для Windows и Zoom Meeting SDK для Windows.
Для тех, кто использует Zoom в связке с виртуальными рабочими столами через VDI-плагин, есть отдельная проблема — CVE-2026-53411 с оценкой 7.8. Здесь сценарий атаки менее пугающий, но тоже неприятный: пользователь, уже имеющий учётную запись в системе, может повысить свои привилегии через локальный доступ. Уязвимость касается версий плагина Zoom Workplace VDI Plugin для Windows до 6.6.14 включительно. Причина всё та же — недостаточная фильтрация входных данных.
Третья по значимости брешь — CVE-2026-53410 с рейтингом 7.0 — относится к классу так называемых TOCTOU-уязвимостей, то есть состояний гонки между моментом проверки и моментом использования ресурса. Проблема проявляется во время установки и удаления некоторых клиентов Zoom для Windows. Пока система проверяет права доступа к файлу, злоумышленник может подменить этот файл на вредоносный — и система, полагаясь на устаревшую проверку, выполнит уже подменённый код. Итог тот же: авторизованный локальный пользователь получает возможность повысить свои привилегии в системе.
Четвёртая уязвимость, CVE-2026-53409 с оценкой 7.8, затрагивает Zoom Rooms для Windows в версиях до 7.1.0. Здесь проблема кроется в неправильном управлении привилегиями — программа выдаёт пользователю больше прав, чем должна, и снова через локальный доступ авторизованный пользователь может эскалировать свои полномочия до более высокого уровня.
Помимо четырёх основных CVE, в бюллетене Zoom отдельным списком идут продукты и версии с минимальной оценкой 0.5 — по сути, это сопутствующие исправления, не тянущие на отдельный номер уязвимости, но всё же требующие обновления. Сюда попали клиент Zoom Workplace VDI для Windows версий ниже 6.5.17 и 6.6.14 (в зависимости от ветки), сам VDI-плагин тех же версий, Zoom Rooms для Windows ниже версии 7.0.5, а также модуль удалённого управления Remote Control для Zoom Contact Center для Windows версий ниже 7.0.0.
На момент публикации уведомления никаких данных об эксплуатации этих четырёх уязвимостей в реальных атаках зафиксировано не было. Это, впрочем, слабое утешение — учитывая критический рейтинг главной проблемы и тот факт, что информация о ней уже стала публичной, окно для атак может открыться быстро, как только злоумышленники разберут детали патча и восстановят логику уязвимости методом реверс-инжиниринга.
Пользователям корпоративных и домашних версий Zoom для Windows стоит обновить клиенты как можно скорее — благо процедура стандартная и не требует специальных знаний. Особое внимание стоит уделить организациям, использующим VDI-инфраструктуру и Zoom Rooms в переговорных комнатах: там локальный доступ к терминалам зачастую менее контролируем, чем доступ к личным рабочим станциям сотрудников, а значит, риск эскалации привилегий на практике выше, чем может показаться на бумаге.