Разработчики Zoom выпустили обновления для Windows-клиентов и SDK, устраняющие критическую уязвимость CVE-2026-53412. Баг позволял неаутентифицированному злоумышленнику удаленно захватить учетную запись жертвы и получил 9,8 балла по шкале CVSS.

Проблему обнаружили специалисты самой компании. Уязвимость связана с некорректной проверкой входных данных и затрагивает Zoom Workplace, VDI Client и Meeting SDK для Windows.

В опубликованном бюллетене разработчики предупреждают, что для эксплуатации бага удаленному атакующему не требуется предварительная аутентификация, и для захвата аккаунта достаточно сетевого доступа к уязвимому клиенту. При этом никаких технических подробностей или информации об эксплуатации в компании пока не раскрывают.

Известно, что CVE-2026-53412 затрагивает Zoom Workplace для Windows ниже версии 7.0.0 и Meeting SDK ниже 7.0.0. Кроме того, уязвимы разные ветки VDI Client: обновиться рекомендуется как минимум до версий 7.0.10, 6.6.15 или 6.5.18.

Также свежие патчи устранили еще три уязвимости в Zoom. Первая из них, CVE-2026-53410, получила 7,0 балла по шкале CVSS и представляет собой состояние гонки типа TOCTOU (time-of-check to time-of-use) в ходе установки и удаления некоторых клиентов Zoom. Проблема позволяет аутентифицированному локальному пользователю повысить свои привилегии.

CVE-2026-53410 затрагивает Zoom Workplace для Windows ниже версии 7.0.5, VDI Client и VDI Plugin ниже версий 6.5.17 и 6.6.14 в соответствующих ветках, Zoom Rooms ниже 7.0.5, а также Remote Control for Zoom Contact Center ниже 7.0.0.

Еще две проблемы получили по 7,8 балла по шкале CVSS. Уязвимость CVE-2026-53409 связана с некорректным управлением привилегиями в Zoom Rooms для Windows ниже версии 7.1.0. Она позволяет аутентифицированному пользователю с локальным доступом повысить свои права.

Наконец, CVE-2026-53411 затрагивает VDI Plugin для Windows ниже версии 6.6.14. Из-за неправильной проверки входных данных локальный аутентифицированный пользователь также может добиться повышения привилегий.