CVE-2026-108186
CVSS 9.6 CRITICAL: improper Input Validation in Zoom Workplace for Windows may allow an unauthenticated user to conduct an escalation of… EPSS 0.4% (36º percentile).
Vulnerabilità · 1 giorno fa
NCSC-NL segnala due vulnerabilità in Zoom Workplace per Windows, una con CVSS 9.6 e l’altra con 8.1: un attaccante con accesso alla rete può ottenere privilegi elevati sul computer senza autenticarsi. Le falle riguardano il client Windows, non il servizio Zoom.
Zoom attribuisce i problemi a controlli errati sull’origine delle informazioni e sulla validità degli input. In pratica, il client non verifica correttamente da dove arrivano le informazioni o se i dati ricevuti sono validi; un attaccante raggiungibile via rete può superare i controlli e aumentare i propri privilegi, mettendo a rischio l’integrità del sistema.
Zoom ha rilasciato aggiornamenti, ma l’avviso NCSC-NL non indica le versioni corrette e non riporta prove di sfruttamento. L’esposizione è circoscritta agli endpoint Windows che eseguono Zoom Workplace: gli altri client e il servizio non risultano coinvolti.
CVSS 9.6 CRITICAL: improper Input Validation in Zoom Workplace for Windows may allow an unauthenticated user to conduct an escalation of… EPSS 0.4% (36º percentile).
CVSS 8.1 HIGH: origin Validation Error in Zoom Workplace for Windows may allow an unauthenticated user to conduct an escalation of… EPSS 0.2% (9º percentile).
4 fonti che coprono questa storia
Kwetsbaarheden verholpen in Zoom Workplace
Zoom heeft kwetsbaarheden verholpen in Zoom Workplace voor Windows.
Vulnerabilità in prodotti Zoom
Zoom ha rilasciato aggiornamenti di sicurezza per sanare due vulnerabilità, una con gravità “critica” e una con gravità “alta”, nel prodotto Zoom Workplace, piattaforma per la comunicazione e la collaborazione.
Critical Zoom Workplace Flaw Could Allow Unauthenticated Remote Privilege Escalation
Zoom patches two Workplace for Windows flaws that could let unauthenticated remote attackers escalate privileges, including a critical bug.
Asus, Zoom Release Security Patches
Attackers could exploit them for command execution, memory overwrites, and privilege escalation.
Part of the PlainSec briefing for 2026-11-14