Twee ernstige kwetsbaarheden in Zoom Workplace voor Windows maken het mogelijk dat aanvallers zonder account verhoogde rechten verkrijgen. Update is beschikbaar.
In Zoom Workplace voor Windows zijn twee kwetsbaarheden ontdekt met de CVE-nummers CVE-2026-108186 en CVE-2026-108187, die respectievelijk een CVSS-score van 9,6 en 8,1 hebben. Het Nationaal Cyber Security Centrum (NCSC) beoordeelt deze kwetsbaarheden als ernstig vanwege de mogelijkheid voor een aanvaller om zonder account via het netwerk verhoogde rechten te verkrijgen. De kans op misbruik wordt als medium ingeschat, terwijl de potentiële schade als hoog wordt gezien.
Zoom Workplace is een softwaretoepassing die wordt gebruikt voor samenwerking op afstand, zoals videovergaderingen en chat, en draait op Windows-systemen. De kwetsbaarheden stellen een aanvaller in staat om zonder inloggegevens toegang te krijgen tot het systeem en hogere bevoegdheden te verkrijgen. Hierdoor kan de aanvaller instellingen wijzigen of toegang krijgen tot gevoelige informatie. Omdat de aanval op afstand kan plaatsvinden, vormt dit een serieus beveiligingsrisico voor gebruikers van Zoom Workplace op Windows.
Indien deze kwetsbaarheden niet worden verholpen, kan een aanvaller het systeem overnemen met verhoogde rechten, wat kan leiden tot het inzien, aanpassen of verwijderen van gegevens en het verstoren van de systeemwerking. Tot op heden is er geen melding van actief misbruik. Zoom heeft inmiddels updates uitgebracht die deze kwetsbaarheden dichten. Het is van belang deze updates zo spoedig mogelijk te installeren. Gebruikers die niet zeker weten of zij Zoom Workplace gebruiken of welke versie zij hebben, wordt geadviseerd contact op te nemen met hun IT-dienstverlener. Het NCSC raadt aan de aanbevolen maatregelen snel uit te voeren en waar nodig ondersteuning te zoeken bij de IT-dienstverlener. Meer details zijn te vinden in de advisory van het NCSC.
