Zoom Workplace ל-Windows: שתי פרצות להסלמת הרשאות, אחת מהן קריטית. עדכנו ל-7.1.8

Zoom פרסמה ב-10 בנובמבר תיקון לשתי חולשות אבטחה באפליקציית Zoom Workplace ל-Windows, ואחת מהן קיבלה דירוג קריטי. שתי החולשות מאפשרות לתוקף שאין לו חשבון במערכת להשיג הרשאות גבוהות דרך הרשת. הפתרון פשוט: לעדכן לגרסה 7.1.8 ומעלה.

שתי החולשות ב-Zoom Workplace, ומי בסיכון

החולשה החמורה היא CVE-2026-108186, עם ציון 9.6 מתוך 10. לפי הודעת האבטחה של Zoom, מקורה בבדיקה לקויה של קלט. היא פוגעת בגרסאות 7.1.0 עד 7.1.7. צוות המחקר ההתקפי של Zoom עצמה גילה אותה.

החולשה השנייה, CVE-2026-108187, קיבלה ציון 8.1. כאן הבעיה היא באימות המקור של בקשות. היא פוגעת בכל הגרסאות שלפני 7.1.5, כלומר גם במחשבים שלא עודכנו כבר זמן רב. חוקר חיצוני בכינוי shmoul דיווח עליה.

שתי ההודעות עוסקות רק באפליקציה ל-Windows. Zoom לא ציינה גרסאות של Mac, Linux או הטלפון ברשימת המוצרים הפגיעים. בנוסף, החברה לא דיווחה על ניצול של החולשות בפועל.

מה זה הסלמת הרשאות, ולמה הציון גבוה

הסלמת הרשאות פירושה שתוקף מתחיל עם גישה מוגבלת ומשיג יכולות רחבות. במקרה הזה, לפי Zoom, הוא לא צריך שם משתמש או סיסמה. מספיקה גישה דרך הרשת.

יש פרט חשוב שמופיע בנתוני הדירוג של שתי החולשות. ההגדרה שם מסמנת שנדרשת פעולה כלשהי של המשתמש. בפועל, תרחיש תקיפה סביר עשוי לכלול קישור או הזמנה שהקורבן פותח. Zoom לא פרסמה פרטים טכניים, ולכן קשה לדעת איך בדיוק נראית התקיפה.

זו לא הפעם הראשונה השנה. ביולי תיקנה Zoom חולשה אחרת באפליקציה ל-Windows, CVE-2026-53412, עם ציון 9.8. לפי The Hacker News, היא אפשרה להשתלט על חשבונות. מי שלא מעדכן את Zoom באופן קבוע צובר כך כמה פרצות פתוחות במקביל.

למה Zoom Workplace מעניינת עסקים בישראל

Zoom משמשת עסקים קטנים, משרדי עורכי דין, מרפאות וכיתות לימוד. הרבה מהמחשבים האלה לא מנוהלים בידי איש IT. אצלם האפליקציה מתעדכנת רק כשמישהו לוחץ על הכפתור.

בגלל ש-Zoom פרסמה את שתי ההודעות יחד, גם תוקפים יודעים עכשיו מה לחפש. לעיתים קרובות, הניסיונות הראשונים לנצל חולשה מגיעים אחרי פרסום התיקון. לכן כדאי לעדכן בימים הקרובים, ולא לחכות לפגישה הבאה.

מה עם מי שמצטרף לפגישות רק מהדפדפן? ההודעות של Zoom עוסקות באפליקציה המותקנת. אבל רבים התקינו אותה כבר בפגישה הראשונה, ושכחו ממנה מאז. כדאי לבדוק גם מחשבים שמשתמשים בהם לעיתים רחוקות, כמו מחשב ביתי של עובד או מחשב נייד ישן לעבודה מהבית.

עוד ב-GEEKLIK: ZOOMSDAY: חולשות ב-Zoom אפשרו להשתלט על מחשב של משתתף בשיחה, בלי שום הקלקה

מה הלאה

Zoom לא פרסמה פרטים טכניים על דרך הניצול. אם חוקרים יפרסמו הדגמה, או אם CISA תוסיף את החולשות לרשימת הפרצות המנוצלות, הסיכון יעלה. עד אז, העדכון הוא הצעד היחיד שנדרש.