Uma falha crítica no Zoom Workplace para Windows, classificada com pontuação CVSS 9.6, levou a empresa a publicar novas atualizações de segurança para corrigir duas vulnerabilidades que podem permitir a escalada remota de privilégios em computadores vulneráveis. Os problemas, identificados como CVE-2026-108186 e CVE-2026-108187, foram divulgados em 10 de novembro de 2026 e exigem atenção imediata de usuários domésticos, empresas e administradores de sistemas.
A situação merece atenção porque as vulnerabilidades podem ser exploradas por meio da rede sem que o invasor precise possuir uma conta ou privilégios prévios no sistema. Entretanto, existe uma diferença técnica importante: a documentação da CVE-2026-108186 indica que a exploração exige interação do usuário, embora não exija privilégios ou autenticação prévia. Portanto, não se trata de uma invasão necessariamente automática ou completamente silenciosa.
O Zoom Workplace está presente em ambientes corporativos, instituições de ensino e computadores utilizados no trabalho remoto. Essa ampla utilização aumenta a importância de manter o aplicativo atualizado, especialmente em organizações nas quais uma estação comprometida pode representar uma porta de entrada para outros recursos da infraestrutura.
Entendendo as vulnerabilidades críticas no Zoom: CVE-2026-108186 e CVE-2026-108187
As duas falhas corrigidas pela Zoom envolvem problemas distintos na validação de dados e na verificação da origem das informações processadas pelo aplicativo.
A primeira vulnerabilidade, CVE-2026-108186, recebeu pontuação CVSS 9.6, sendo classificada como crítica. O problema está relacionado à validação inadequada de entrada (Improper Input Validation), uma categoria de falhas na qual o software não verifica corretamente os dados recebidos antes de processá-los.
Na prática, quando um aplicativo não valida adequadamente uma entrada, informações manipuladas podem alcançar componentes que não deveriam aceitá-las. Dependendo da implementação e dos privilégios envolvidos, isso pode permitir que um invasor provoque comportamentos inesperados e obtenha permissões superiores às inicialmente disponíveis.
Já a CVE-2026-108187 está relacionada a um erro de validação de origem (Origin Validation Error). Esse tipo de problema ocorre quando o aplicativo não verifica corretamente de onde determinada solicitação ou informação está vindo.
A ausência de verificações adequadas pode permitir que dados provenientes de uma origem não confiável sejam aceitos como legítimos. Em um cenário de ataque, essa condição pode abrir caminho para operações indevidas e elevação de privilégios.
As duas vulnerabilidades receberam classificações elevadas e afetam o Zoom Workplace para Windows, embora possuam intervalos de versões vulneráveis diferentes.
O perigo da escalada de privilégios sem autenticação
A escalada de privilégios acontece quando um invasor consegue obter permissões superiores às que normalmente teria em um sistema.
Em um computador Windows, isso pode representar uma diferença significativa entre executar uma operação limitada e conseguir interferir em componentes mais sensíveis do sistema operacional ou do próprio aplicativo.
O aspecto preocupante dessas vulnerabilidades é que o atacante não precisa ter uma conta previamente autorizada no Zoom nem possuir privilégios iniciais na máquina vulnerável. O acesso pela rede é suficiente para fazer parte do cenário de exploração descrito pela fabricante.
Isso não significa, porém, que qualquer computador com Zoom instalado esteja automaticamente comprometido. A exploração depende das condições técnicas de cada vulnerabilidade e, no caso da CVE-2026-108186, a documentação registra a necessidade de interação do usuário.
A pontuação CVSS 9.6 considera impactos elevados sobre três propriedades fundamentais da segurança da informação:
- Confidencialidade: possibilidade de acesso indevido a informações protegidas.
- Integridade: possibilidade de modificar dados ou componentes do sistema.
- Disponibilidade: possibilidade de prejudicar o funcionamento normal dos recursos afetados.
Quando essas três propriedades estão potencialmente comprometidas, o risco para ambientes corporativos se torna especialmente relevante.
Versões afetadas do Zoom Workplace para Windows
Um detalhe importante é que as duas vulnerabilidades não atingem exatamente as mesmas versões do aplicativo. Por isso, administradores precisam considerar os intervalos específicos antes de definir suas ações de atualização.
| Vulnerabilidade | Versões afetadas | Correção |
|---|---|---|
| CVE-2026-108187 | Anteriores à 7.1.5 | 7.1.5 ou superior |
| CVE-2026-108186 | Da versão 7.1.0 até versões anteriores à 7.1.8 | 7.1.8 ou superior |
Versão recomendada Zoom Workplace 7.1.8 ou superior.
A recomendação mais segura é atualizar diretamente para a versão 7.1.8 ou uma versão posterior, evitando depender de correções intermediárias. Dessa maneira, as duas vulnerabilidades ficam contempladas pelo mesmo processo de atualização.
Um padrão recorrente: o histórico recente de segurança do Zoom
As novas vulnerabilidades não são um episódio isolado. Em julho de 2026, a Zoom já havia corrigido outra falha crítica, identificada como CVE-2026-53412, que recebeu pontuação CVSS 9.8.
Na ocasião, o problema também estava relacionado à validação inadequada de entrada e poderia permitir que um invasor não autenticado assumisse o controle de uma conta por meio de acesso à rede.
A vulnerabilidade afetava o Zoom Workplace para Windows em versões anteriores à 7.0.0, além de componentes específicos do ecossistema VDI e do Meeting SDK.
Embora o problema anterior tivesse um impacto diferente, relacionado à tomada de contas, ele reforça uma questão importante: aplicativos de comunicação amplamente utilizados também precisam ser tratados como componentes críticos da infraestrutura de segurança. Cyber Security Agency of Singapore+1
O histórico recente demonstra por que empresas não devem depender exclusivamente de atualizações ocasionais ou da iniciativa individual dos funcionários.
Manter o Zoom atualizado precisa fazer parte da política contínua de gerenciamento de vulnerabilidades, especialmente em computadores utilizados para acessar documentos corporativos, sistemas internos e informações confidenciais.
Como verificar e atualizar o Zoom Workplace agora mesmo
A principal recomendação para usuários domésticos e profissionais é instalar a versão 7.1.8 ou superior do Zoom Workplace para Windows.
O procedimento é simples e pode ser realizado diretamente pelo aplicativo.
Siga estas etapas:
- Abra o Zoom Workplace no computador Windows.
- Clique na sua foto de perfil, localizada no canto superior direito.
- Procure a opção Verificar atualizações.
- Aguarde o aplicativo verificar se existe uma versão mais recente disponível.
- Caso uma atualização seja encontrada, selecione a opção para baixar e instalar.
- Reinicie o aplicativo quando solicitado.
- Verifique novamente a versão instalada para confirmar que ela é 7.1.8 ou superior.
Caso a opção de atualização não esteja disponível ou o processo apresente problemas, o usuário pode baixar o instalador atualizado diretamente do site oficial da Zoom.
Para administradores de sistemas, a recomendação é ampliar essa verificação para todos os dispositivos Windows que utilizam o aplicativo.
Algumas medidas adicionais merecem atenção:
- Inventário de versões: identifique computadores que ainda executam versões vulneráveis do Zoom Workplace.
- Atualização centralizada: utilize ferramentas de gerenciamento de endpoints para distribuir a versão corrigida.
- Verificação de conformidade: confirme se os dispositivos receberam efetivamente a atualização.
- Estações remotas: inclua notebooks de funcionários que trabalham fora da rede corporativa.
- Políticas de atualização: estabeleça procedimentos para evitar que versões antigas permaneçam instaladas indefinidamente.
Em ambientes empresariais, atualizar apenas os computadores conectados à rede interna não é suficiente. Dispositivos utilizados remotamente também precisam entrar no processo de correção.
Conclusão e medidas de proteção
A descoberta das vulnerabilidades CVE-2026-108186 e CVE-2026-108187 reforça a importância de manter aplicativos de comunicação atualizados. Com uma falha crítica de CVSS 9.6 e outra de gravidade alta, com CVSS 8.1, o Zoom Workplace para Windows exige atenção dos usuários e das equipes responsáveis pela segurança de TI. Zoom+1
Até a divulgação dos boletins de segurança, não havia indicação da Zoom de exploração ativa dessas duas vulnerabilidades. Isso não significa que os usuários possam adiar a instalação das correções.
A ausência de exploração conhecida não elimina o risco de ataques futuros, especialmente quando informações técnicas sobre vulnerabilidades já estão disponíveis publicamente.
A melhor medida preventiva é garantir que todos os computadores utilizem a versão 7.1.8 ou superior.
Se você utiliza o Zoom diariamente, verifique sua instalação agora mesmo. Se trabalha em uma empresa, compartilhe este alerta com seus colegas e com a equipe responsável pela infraestrutura de TI.
A segurança digital depende também de pequenas ações preventivas. Acompanhe o Sempre Update e assine nossa newsletter para receber mais alertas sobre vulnerabilidades, atualizações críticas e ameaças que podem afetar seus dispositivos.
