Cảnh báo lỗ hổng xác thực chứng chỉ nghiêm trọng trên Zoom: CVE-2026-108184 và CVE-2026-108185

• Phát hiện lỗ hổng: Hai lỗ hổng xác thực chứng chỉ (CVE-2026-108184 và CVE-2026-108185) được đánh giá mức độ nghiêm trọng cao với điểm CVSS 7.4.
• Phạm vi ảnh hưởng: Lỗ hổng tác động đến Zoom Workplace trên Windows, VDI, Zoom Rooms và tính năng My Notes trên nhiều nền tảng.
• Khuyến nghị: Người dùng và quản trị viên cần cập nhật ngay lên các phiên bản mới nhất theo hướng dẫn từ nhà sản xuất để giảm thiểu rủi ro rò rỉ dữ liệu.

Các nhà nghiên cứu bảo mật vừa công bố thông tin về hai lỗ hổng xác thực chứng chỉ nghiêm trọng trong các ứng dụng khách của Zoom. Những lỗ hổng này, được định danh là CVE-2026-108184 và CVE-2026-108185, có khả năng cho phép kẻ tấn công không cần thông tin đăng nhập vẫn có thể truy cập vào các thông tin nhạy cảm thông qua kết nối mạng. Các báo cáo kỹ thuật từ Zoom Offensive Security nhấn mạnh rằng cả hai lỗ hổng đều đạt điểm CVSS v3.1 là 7.4, phản ánh mức độ rủi ro đáng kể đối với cả người dùng cá nhân và các doanh nghiệp đang triển khai hệ thống hội nghị trực tuyến này.

Phân tích kỹ thuật về lỗ hổng xác thực chứng chỉ

Xác thực chứng chỉ là một thành phần cốt lõi trong bảo mật mạng, giúp ứng dụng xác minh rằng nó đang giao tiếp với một dịch vụ tin cậy. Khi cơ chế này bị lỗi, ứng dụng có thể vô tình chấp nhận các kết nối độc hại mà lẽ ra phải bị từ chối. Theo phân loại của MITRE, đây là lỗi Improper Certificate Validation, cho phép kẻ tấn công thực hiện các hành vi mạo danh hệ thống hoặc can thiệp vào luồng dữ liệu được bảo vệ.

Mặc dù các bản tin bảo mật từ Zoom xác nhận rủi ro tiết lộ thông tin, hiện tại chưa có chi tiết cụ thể về loại dữ liệu bị lộ hoặc bằng chứng về việc khai thác thực tế. Tuy nhiên, các chuyên gia cảnh báo rằng việc không kiểm tra đúng cách các bước như độ tin cậy của chứng chỉ, kiểm tra thời hạn hoặc danh tính máy chủ có thể dẫn đến những hậu quả nghiêm trọng.

Phạm vi ảnh hưởng và các phiên bản cần cập nhật

Việc xác định phiên bản bị ảnh hưởng là bước quan trọng để quản trị viên thực hiện vá lỗi. Đối với CVE-2026-108184 (chi tiết trong ZSB-26021), lỗ hổng ảnh hưởng đến các phiên bản Zoom Workplace cho Windows bắt đầu từ 7.0.0 và chưa được vá trước phiên bản 7.2.0 hoặc 7.1.9 tùy theo nhánh phát hành. Ngoài ra, Zoom Workplace VDI Client cho Windows từ 7.0.11 đến trước 7.0.13 và Zoom Rooms cho Windows từ 7.0.0 đến trước 7.1.7 cũng nằm trong danh sách bị ảnh hưởng.

Đối với CVE-2026-108185 (chi tiết trong ZSB-26022), lỗ hổng liên quan đến tính năng My Notes. Trên Windows, phạm vi ảnh hưởng bắt đầu từ phiên bản 7.1.5, trong khi trên macOS và Linux là từ 7.0.5. Người dùng Android và iOS cũng cần lưu ý nếu đang sử dụng phiên bản từ 7.0.5 đến trước 7.2.0.

⚠️ Cảnh báo quan trọng: Quản trị viên hệ thống không nên giả định rằng việc cập nhật ứng dụng Workplace tiêu chuẩn sẽ tự động vá lỗi cho các phiên bản VDI hoặc Zoom Rooms. Cần kiểm tra và cập nhật riêng biệt cho từng loại hình triển khai để đảm bảo an toàn tuyệt đối.

Khuyến nghị phòng thủ và quản trị hệ thống

Để bảo vệ hệ thống trước các nguy cơ từ lỗ hổng này, các tổ chức cần thực hiện quy trình cập nhật phần mềm nghiêm ngặt. Việc vô hiệu hóa tính năng My Notes không được khuyến nghị là một giải pháp thay thế tạm thời cho đến khi có hướng dẫn chính thức từ nhà sản xuất. Người dùng nên truy cập trực tiếp vào Zoom Download Center để tải về các bản cập nhật mới nhất.

Đối với các môi trường doanh nghiệp, quản trị viên cần thực hiện các bước sau:

• Kiểm kê phiên bản: Rà soát toàn bộ các thiết bị đang cài đặt Zoom, bao gồm cả máy tính nhân viên, hệ thống VDI và các thiết bị phòng họp.
• Triển khai đồng bộ: Đảm bảo bản vá được áp dụng trên tất cả các nền tảng (Windows, macOS, Linux, Android, iOS) thay vì chỉ tập trung vào máy tính xách tay của nhân viên.
• Xác nhận sau triển khai: Sau khi thực hiện cập nhật, cần kiểm tra lại phiên bản phần mềm trên các thiết bị để đảm bảo quá trình rollout đã thành công và không bị bỏ sót các hệ thống nằm ngoài mạng nội bộ.

Việc duy trì phần mềm ở phiên bản mới nhất không chỉ giúp vá các lỗ hổng bảo mật như CVE-2026-108184 và CVE-2026-108185 mà còn đảm bảo hệ thống nhận được các cải tiến về hiệu năng và tính năng bảo mật mới nhất từ nhà phát triển.