Zoom corrige falhas críticas de segurança no Windows

A plataforma de reuniões virtuais Zoom disponibilizou, nesta quinta-feira (12), novas atualizações de segurança para corrigir falhas graves no sistema Zoom Workplace voltado para o sistema Windows. As brechas permitiam que invasores sem autenticação ganhassem privilégios restritos a contas de administradores em computadores afetados, conforme explicou a empresa.

Em boletins de segurança recém-publicados, a companhia informou desconhecer ataques baseados nas vulnerabilidades CVE-2026-108186 e CVE-2026-108187. A Zoom recomendou, nos mesmos comunicados, a instalação imediata dos pacotes mais recentes.

Impacto técnico e gravidade das falhas

O analista de segurança Pierluigi Paganini detalhou, em relatório técnico, que a falha CVE-2026-108186 foi classificada com nota 9.6 no Sistema Comum de Pontuação de Vulnerabilidades (CVSS). Trata-se de uma brecha de validação de entrada que possibilitava a ampliação de privilégios por meio de uma conexão de rede, sem exigência de login.

A segunda vulnerabilidade, catalogada como CVE-2026-108187 no CVSS, tem a pontuação 8.1 e envolve uma falha de validação de origem. Isso significa que o software falha em verificar adequadamente a fonte de solicitações ou mensagens, permitindo que conteúdos maliciosos externos finjam ser confiáveis.

De acordo com o veículo especializado Security Affairs, a falha CVE-2026-108186 foi descoberta pela equipe interna de segurança da plataforma, enquanto a CVE-2026-108187 foi reportada pelo pesquisador shmoul.

Versões afetadas e histórico de incidentes

As versões vulneráveis compreendem edições anteriores a 7.1.5 e faixas que incluem da 7.1.0 a edição 7.1.8. Conforme os dados técnicos, a exploração bem-sucedida corrompia a memória do sistema por meio de mensagens manipuladas. Essa ação abria caminho para a execução de códigos sem interação do usuário, roubo de dados, ativação não autorizada de câmeras ou microfones e instalação de software malicioso em reuniões.

Este incidente soma-se a outros alertas recentes enfrentados pela plataforma. Em agosto, a Zoom tratou quatro vulnerabilidades, incluindo uma falha de clique zero (zero-click), chamada de “Zoomsday” e registrada como CVE-2026-53413. Essa brecha permitia que participantes de uma reunião controlassem totalmente o dispositivo de outra pessoa.

No mês anterior, a empresa também solucionou outra vulnerabilidade crítica no Windows sobre o código CVE-2026-53412, com pontuação máxima de 9.8, que permitia o sequestro de contas de usuários em versões antigas da plataforma.

Recomendação e próximos passos

Diante do histórico recente de incidentes, a Zoom reforça a necessidade de manter todos os aplicativos atualizados. Para realizar essa proteção, os usuários devem abrir a aplicação, acessar o menu de perfil ou configurações, clicar em “Verificar atualizações” e instalar a versão mais recente disponibilizada pela desenvolvedora.