Zoom’da 9.6 puanlık kritik açık yamalandı

Zoom, Windows için masaüstü uygulamasında iki güvenlik açığını kapatan güncellemeyi 10 Kasım’da duyurdu. Açıklardan biri kritik seviyede: Zoom Workplace for Windows’ta bulunan CVE-2026-108186 için 9.6 puan verildi. Zoom’un ZSB-26023 numaralı bültenine göre sorun hatalı girdi doğrulaması ve oturum açmamış bir kullanıcının ağ üzerinden yetki yükseltmesine yol açabiliyor.

İkinci açık CVE-2026-108187 ise 8.1 puanla yüksek seviyede. Bu kez kaynak doğrulama hatası olarak sınıflandırılmış, sonuç aynı: kimlik doğrulaması yapmamış bir kişi ağ erişimiyle yetki yükseltebiliyor. Zoom bu açığı ZSB-26024 bülteniyle duyurdu.

Etkilenen sürümler

9.6 puanlık açık, 7.1.0 sürümünden başlayarak 7.1.8 öncesine kadar olan Windows kurulumlarını kapsıyor. 8.1 puanlık açık ise 7.1.5 öncesi tüm Windows sürümlerinde var. Yani 7.1.5, 7.1.6 ve 7.1.7 kullananlar yalnızca kritik açığa, daha eski sürümde kalanlar iki açığa birden maruz kalıyor.

Açıkların risk düzeyi

Her iki açığın CVSS vektöründe de ağdan erişim (AV:N) ve ayrıcalık gerektirmeme (PR:N) işaretleri var; saldırganın oturum açması gerekmiyor. Buna karşılık kullanıcı etkileşimi (UI:R) şartı bulunuyor, yani kurbanın bir eylemi tetiklemesi gerekiyor. Kritik açıkta ayrıca kapsam değişimi (S:C) işareti var: etki uygulama sınırında kalmayıp işletim sistemi tarafına taşabiliyor. Zoom, 9.6’lık açığı kendi güvenlik ekibinin bulduğunu, 8.1’lik açığı ise dışarıdan bir araştırmacının (shmoul) bildirdiğini yazıyor.

İki CVE de CISA’nın bilinen sömürülen açıklar listesinde (KEV) yer almıyor, bültenlerde aktif istismara dair bir ifade de yok. Bu, açığın sahada kullanıldığına dair kanıt bulunmadığı anlamına geliyor; yamayı ertelemek için gerekçe değil.

Nasıl güncellenir

Masaüstü uygulamasında sürümü görmek için sağ üstteki profil menüsünden Yardım ve ardından Zoom Hakkında adımını izleyin. 7.1.8’den eski bir sürüm görünüyorsa zoom.us/download adresinden indirip kurun. Otomatik güncelleme açık makinelerde yeni sürüm genellikle kendiliğinden gelir. Kurumsal ortamda MSI paketiyle sürüm sabitlenmişse 7.1.8’e çıkış planlanmalı; 7.1.5 öncesinde kalan cihazlar iki açığı birden taşır.

Bültenler yalnızca Windows istemcisini kapsıyor. Zoom’un macOS, Linux, iOS ve Android sürümleri için aynı gün yayımlanmış bir güvenlik duyurusu bulunmuyor.

Kaynak: Zoom ZSB-26023 · ZSB-26024 · NVD