Zoom: CVE-2026-108184 e CVE-2026-108185, falle di validazione dei certificati

• Due falle di validazione dei certificati in Zoom: CVE-2026-108184 e CVE-2026-108185, CVSS 7.4
• Colpiti Workplace, VDI e Rooms per Windows e My Notes su desktop e mobile
• Rischio di divulgazione di informazioni senza credenziali; sfruttamento non confermato
• Aggiornare a Zoom 7.2.0 o 7.1.9 (ramo) dal Download Center ufficiale

Zoom ha pubblicato due bollettini di sicurezza, datati 13 ottobre 2026, su altrettante vulnerabilità di validazione dei certificati nei suoi client. Le falle sono tracciate come CVE-2026-108184 e CVE-2026-108185, hanno un punteggio CVSS v3.1 di 7.4 e, secondo i bollettini, permetterebbero a un attaccante senza credenziali di accedere a informazioni sensibili tramite la rete. Entrambe sono state segnalate da Zoom Offensive Security.

Cosa si sa delle vulnerabilità

La validazione dei certificati serve a verificare che un software stia comunicando con un servizio affidabile. Se il controllo non funziona, l’applicazione può accettare una connessione che dovrebbe rifiutare. MITRE descrive questa debolezza come improper certificate validation: può consentire di impersonare sistemi fidati o di interferire con comunicazioni protette.

I bollettini però non chiariscono quale controllo fallisca (fiducia nel certificato, scadenza, identità del server o altro). Non indicano nemmeno quali dati siano esposti, né forniscono un esempio di attacco o dicono se le falle siano state sfruttate. Il problema è classificato come divulgazione di informazioni, non come esecuzione di codice da remoto né furto di account.

Prodotti e versioni coinvolti

CVE-2026-108184 (bollettino ZSB-26021) riguarda alcuni client Zoom per Windows:

• Zoom Workplace, dalla 7.0.0, vulnerabile prima delle versioni 7.2.0 e 7.1.9, a seconda del ramo installato;
• Zoom Workplace VDI Client per Windows, dalla 7.0.11 a prima della 7.0.13;
• Zoom Rooms per Windows, dalla 7.0.0 a prima della 7.1.7.

CVE-2026-108185 (bollettino ZSB-26022) colpisce la funzione My Notes:

• Windows: Workplace dalla 7.1.5;
• macOS e Linux: dalla 7.0.5;
• Android e iOS: dalla 7.0.5 a prima della 7.2.0.

Sui desktop, per uscire dall’intervallo vulnerabile servono la 7.2.0 o la 7.1.9, in base al ramo. Il bollettino non spiega se per lo sfruttamento siano necessarie impostazioni specifiche della funzione.

Cosa fare

Gli utenti devono installare l’ultima versione supportata dal Download Center ufficiale di Zoom. Non esiste una mitigazione confermata: disabilitare My Notes non va considerato un rimedio valido in assenza di indicazioni del vendor.

Negli ambienti gestiti, gli intervalli di versione sono un punto di partenza per l’inventario. Gli amministratori dovrebbero verificare separatamente client Workplace, VDI e Rooms, perché aggiornare l’app standard non garantisce la correzione degli altri prodotti. Dopo il rollout conviene controllare le versioni effettivamente installate, inclusi i dispositivi fuori sede e quelli gestiti da team diversi.

Fonte: Cyber Security News · Foto: Cyber Security News