Zoom Workplace for Windows'ta kritik açık CVE-2026-108186: ağ üzerinden kimlik doğrulamasız yetki yükseltme
Zoom, Windows istemcisinde CVSS 9.6 puanlı CVE-2026-108186 ve 8.1 puanlı CVE-2026-108187 açıklarını kapattı. Kritik açık 7.1.0 ile 7.1.8 öncesi sürümleri etkiliyor; sahada istismar bildirilmedi.
CVE-2026-108186, CVE-2026-108187
Zoom, Windows için Zoom Workplace uygulamasında iki açığı kapatan bültenler yayımladı. Kritik olarak derecelendirilen CVE-2026-108186 (ZSB-26023, CVSS 9.6), bir improper input validation hatası; Zoom'a göre kimlik doğrulaması olmayan bir kullanıcının ağ üzerinden yetki yükseltmesine izin verebiliyor. Açığı Zoom'un kendi Offensive Security ekibi buldu. CVSS vektörüne göre saldırı kullanıcı etkileşimi gerektiriyor ve etkisi uygulamanın sınırlarının dışına taşabiliyor (scope changed).
İkinci açık CVE-2026-108187 (ZSB-26024, CVSS 8.1, yüksek) bir origin validation hatası ve yine ağ üzerinden yetki yükseltmeye yol açabiliyor. Her iki bülten de 10 Kasım tarihli (ABD saati); açıklar basına 11 Kasım'da yansıdı. Zoom sahada istismardan söz etmiyor ve açıklar CISA KEV kataloğunda değil. Zoom, bültenlerin tek tek müşteri ortamlarını nasıl etkilediği konusunda yönlendirme yapmadığını, en güncel sürüme geçilmesini önerdiğini belirtiyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Zoom Workplace for Windows (CVE-2026-108186) | 7.1.0 ve 7.1.8 öncesi | 7.1.8 |
| Zoom Workplace for Windows (CVE-2026-108187) | 7.1.5 öncesi | 7.1.5 |
| macOS, Linux, mobil ve VDI istemcileri | Bültenlerde etkilenen olarak listelenmiyor | — |
İki açığı birden kapatmak için Windows istemcisinin en az 7.1.8 olması gerekiyor.
Beni etkiliyor mu?
İstemcide sürümü uygulama içinden profil resmi › Help › About Zoom yolundan görebilirsiniz. Windows uç noktalarında kurulu sürümü salt okunur sorgulamak için (kullanıcı bazlı kurulum ve makine geneli kurulum):
Get-Item "$env:APPDATA\Zoom\bin\Zoom.exe" | Select-Object -ExpandProperty VersionInfo
Get-Item "C:\Program Files\Zoom\bin\Zoom.exe" | Select-Object -ExpandProperty VersionInfoSürüm 7.1.8'den düşükse istemci en az bir açıktan etkileniyor.
Ne yapılmalı?
- Windows'taki Zoom Workplace istemcilerini 7.1.8 veya daha yeni bir sürüme güncelleyin. Kullanıcı bazlı kurulumlar yönetim aracında görünmeyebilir; envanteri her iki kurulum yoluna göre çıkarın.
- Kurumsal dağıtımda Intune, SCCM gibi araçlarla güncellemeyi zorlayın ve Zoom yönetim konsolundaki otomatik güncelleme ayarının açık olduğunu doğrulayın.
- Kullanıcı etkileşimi gerektiren bir açık olduğu için bilinmeyen kaynaklardan gelen toplantı bağlantıları ve davetlerle ilgili phishing farkındalığı hatırlatması yapın.
- Zoom Rooms ve VDI istemcileri bu bültenlerde yer almıyor; yine de Zoom'un bülten sayfasını sonraki güncellemeler için izleyin.
