Zoom ha pubblicato un avviso di sicurezza relativo a una vulnerabilità critica presente nei suoi software per Windows, che potrebbe permettere a un soggetto non autenticato di prendere il controllo degli account degli utenti. Il problema, identificato come CVE-2026-53412, ha ricevuto un punteggio di gravità pari a 9,8 su 10, classificandosi quindi come una delle vulnerabilità più rilevanti per il livello di rischio associato.
La falla è stata individuata internamente da Zoom e riguarda diversi prodotti della piattaforma, tra cui il client desktop e il Software Development Kit dedicato agli sviluppatori.
La vulnerabilità critica riguarda Zoom Workplace e il Meeting SDK per Windows
Secondo quanto comunicato dall’azienda, il problema interessa Zoom Workplace per Windows nelle versioni precedenti alla 7.0.0, il Windows VDI Client nelle versioni precedenti alla 7.0.10, 6.6.15 e 6.5.18, oltre al Meeting SDK per Windows prima della versione 7.0.0.
Zoom Workplace, in precedenza conosciuto semplicemente come Zoom, è oggi una piattaforma che integra diversi strumenti oltre alle videochiamate. Il servizio include infatti riunioni online, chat di gruppo, chiamate VoIP, calendario, posta elettronica, collaborazione sui documenti, lavagne digitali e funzioni basate sull’intelligenza artificiale.
Il client desktop per Windows è utilizzato da milioni di persone e organizzazioni in tutto il mondo, rendendo particolarmente importante la correzione della vulnerabilità.
La falla può consentire un account takeover senza autenticazione
Zoom non ha diffuso dettagli tecnici approfonditi sul funzionamento della vulnerabilità, ma nel bollettino di sicurezza ha spiegato che il problema deriva da una gestione non corretta della validazione degli input.
Secondo la descrizione ufficiale, questa condizione potrebbe consentire a un utente non autenticato con accesso alla rete di effettuare un account takeover, ovvero ottenere il controllo di un account Zoom senza dover prima dimostrare la propria identità.
La società ha quindi invitato tutti gli utenti interessati ad applicare gli ultimi aggiornamenti disponibili per ridurre il rischio legato alla vulnerabilità CVE-2026-53412.
Gli aggiornamenti risolvono anche altre tre vulnerabilità di sicurezza
Oltre alla falla critica, le nuove patch distribuite da Zoom correggono anche altri problemi classificati con livello di gravità elevato.
Tra questi c’è CVE-2026-53410, una vulnerabilità di tipo TOCTOU (time-of-check to time-of-use) che interessa diverse versioni di Zoom Workplace per Windows, Zoom Workplace VDI Client, VDI Plugin, Zoom Rooms per Windows e Remote Control per Zoom Contact Center.
Il problema avrebbe potuto permettere a un utente locale già autenticato di ottenere maggiori privilegi durante le procedure di installazione o disinstallazione.
Zoom ha inoltre risolto la vulnerabilità CVE-2026-53409, legata a una gestione errata dei privilegi in Zoom Rooms per Windows prima della versione 7.1.0. Anche in questo caso, un utente autenticato con accesso locale avrebbe potuto aumentare i propri privilegi.
Infine, la patch corregge CVE-2026-53411, una falla di validazione degli input presente nel Zoom Workplace VDI Plugin per Windows, che poteva consentire a un utente locale autenticato di effettuare un’escalation dei privilegi.
Nessun attacco noto al momento, ma Zoom raccomanda l’aggiornamento
Al momento della divulgazione delle vulnerabilità, non risultano prove che questi problemi siano stati sfruttati in attacchi reali. Tuttavia, vista la gravità della falla principale e il suo possibile impatto sugli account degli utenti, Zoom raccomanda di procedere rapidamente con l’installazione delle versioni aggiornate dei propri software.
L’azienda punta così a ridurre il rischio che la vulnerabilità possa essere sfruttata in futuro da eventuali attaccanti interessati a compromettere account personali o aziendali.
Fonte: Bleeping Computer
