Zoom закрыл критическую дыру в клиенте для Windows
Разработчики Zoom выпустили срочные обновления для Windows-клиентов и SDK, устраняющие критическую уязвимость CVE-2026-53412. Баг позволял неаутентифицированному злоумышленнику удалённо захватить учётную запись жертвы и получил 9,8 балла по шкале CVSS — почти максимальный уровень опасности. Проблему обнаружили специалисты самой компании, что говорит о серьёзности инцидента. Уязвимость связана с некорректной проверкой входных данных и затрагивает Zoom Workplace, VDI Client и Meeting SDK для Windows.
В опубликованном бюллетене разработчики предупреждают: для эксплуатации бага атакующему не требуется предварительная аутентификация — достаточно сетевого доступа к уязвимому клиенту. При этом никаких технических подробностей или информации о реальных атаках в компании пока не раскрывают. Известно, что CVE-2026-53412 затрагивает Zoom Workplace для Windows ниже версии 7.0.0 и Meeting SDK ниже 7.0.0. Кроме того, уязвимы разные ветки VDI Client: обновиться рекомендуется как минимум до версий 7.0.10, 6.6.15 или 6.5.18.
Свежие патчи устранили ещё три уязвимости. Первая — CVE-2026-53410 (7,0 балла) — представляет собой состояние гонки типа TOCTOU в процессе установки и удаления некоторых клиентов Zoom. Проблема позволяет аутентифицированному локальному пользователю повысить свои привилегии. Она затрагивает Zoom Workplace для Windows ниже версии 7.0.5, VDI Client и VDI Plugin ниже версий 6.5.17 и 6.6.14, Zoom Rooms ниже 7.0.5, а также Remote Control for Zoom Contact Center ниже 7.0.0.
Ещё две проблемы получили по 7,8 балла. CVE-2026-53409 связана с некорректным управлением привилегиями в Zoom Rooms для Windows ниже версии 7.1.0 — она позволяет локальному пользователю повысить права. CVE-2026-53411 затрагивает VDI Plugin для Windows ниже версии 6.6.14: из-за неправильной проверки входных данных локальный аутентифицированный пользователь также может добиться повышения привилегий. Эксперты настоятельно рекомендуют установить обновления как можно быстрее, особенно корпоративным пользователям, где последствия захвата аккаунта могут быть катастрофическими. Всего за один день Zoom закрыл четыре опасные бреши, но главная интрига остаётся за кадром — была ли эта критическая уязвимость обнаружена до того, как ею успели воспользоваться хакеры.