Cảnh báo hai lỗ hổng xác thực chứng chỉ nghiêm trọng trên ứng dụng Zoom

Các nhà nghiên cứu bảo mật vừa phát hiện hai lỗ hổng liên quan đến quá trình xác thực chứng chỉ trong các ứng dụng khách của Zoom, mang định danh CVE-2026-108184 và CVE-2026-108185.

Chi tiết về mức độ rủi ro của lỗ hổng

Theo báo cáo từ nhóm Zoom Offensive Security, cả hai lỗ hổng này đều đạt điểm số 7.4 theo thang đo CVSS v3.1. Điều này cho thấy mức độ rủi ro đáng kể đối với cả người dùng cá nhân lẫn các tổ chức doanh nghiệp đang sử dụng nền tảng hội nghị trực tuyến này.

Xác thực chứng chỉ đóng vai trò cốt lõi trong việc bảo mật kết nối mạng, giúp ứng dụng nhận diện và giao tiếp với các dịch vụ đáng tin cậy. Khi cơ chế này gặp sự cố, hệ thống có nguy cơ chấp nhận những kết nối độc hại. Theo phân loại của MITRE, đây là lỗi xác thực chứng chỉ không đúng cách (Improper Certificate Validation), tạo cơ hội cho kẻ xấu mạo danh hệ thống hoặc can thiệp vào luồng dữ liệu bảo mật.

Phạm vi ảnh hưởng trên các nền tảng

Mặc dù các bản tin bảo mật ghi nhận nguy cơ rò rỉ thông tin, hiện chưa có bằng chứng về việc khai thác thực tế hay thông tin chi tiết về loại dữ liệu bị lộ. Tuy nhiên, việc bỏ qua các bước kiểm tra độ tin cậy, thời hạn hoặc danh tính máy chủ có thể gây ra hậu quả lớn.

Đối với lỗ hổng CVE-2026-108184 (được ghi nhận trong bản tin ZSB-26021), các phiên bản Zoom Workplace cho Windows từ 7.0.0 đến trước 7.2.0 hoặc 7.1.9 đều bị ảnh hưởng. Thêm vào đó, Zoom Workplace VDI Client cho Windows từ phiên bản 7.0.11 đến trước 7.0.13 và Zoom Rooms cho Windows từ 7.0.0 đến trước 7.1.7 cũng nằm trong danh sách rủi ro.

Trong khi đó, lỗ hổng CVE-2026-108185 (theo ZSB-26022) xuất hiện trên tính năng My Notes. Trên hệ điều hành Windows, lỗi tác động từ phiên bản 7.1.5, còn trên macOS và Linux là từ phiên bản 7.0.5. Người dùng thiết bị di động chạy Android và iOS sử dụng phiên bản từ 7.0.5 đến trước 7.2.0 cũng cần đặc biệt lưu ý.

Biện pháp khắc phục và khuyến cáo

Để bảo vệ hệ thống trước các nguy cơ tiềm ẩn, người dùng và các tổ chức cần nhanh chóng cập nhật phần mềm. Việc vô hiệu hóa tính năng My Notes không được khuyến khích làm giải pháp thay thế tạm thời. Thay vào đó, người dùng nên chủ động truy cập trung tâm tải về chính thức của Zoom để cài đặt các bản vá mới nhất.

Đối với các doanh nghiệp, quản trị viên cần triển khai quy trình cập nhật đồng bộ. Việc duy trì phiên bản phần mềm mới nhất không chỉ giúp khắc phục triệt để các lỗ hổng bảo mật như CVE-2026-108184 và CVE-2026-108185 mà còn giúp hệ thống vận hành ổn định và hưởng các tính năng bảo mật tiên tiến từ nhà phát triển.