A Zoom divulgou uma vulnerabilidade de alta gravidade no recurso My Notes, que afeta vários clientes do Zoom Workplace. A falha, identificada pelo código CVE-2026-108185 (sistema de identificação de vulnerabilidades conhecidas), pode permitir que um atacante sem autenticação, com acesso à rede, divulgue informações sensíveis.
Em 13 de outubro de 2026, a Zoom publicou o boletim de segurança ZSB-26022, que identifica as versões vulneráveis para Windows, macOS, Linux, Android e iOS, e orienta os usuários a instalar as atualizações do software.
Vulnerabilidade na validação de certificado do Zoom
A vulnerabilidade tem pontuação 7,4 no CVSS (Sistema de Pontuação de Vulnerabilidades Comuns), na versão 3.1, com as métricas CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N. Essas métricas indicam que o ataque pode ser realizado pela rede e exige alta complexidade, mas não requer privilégios do usuário nem interação.
A avaliação destaca um impacto potencial significativo sobre a confidencialidade e a integridade, sem impacto sobre a disponibilidade. A descrição da Zoom aponta especificamente a divulgação de informações como possível resultado da exploração, e não detalha um cenário de ataque focado na integridade.
O problema central envolve a validação inadequada de certificados no recurso My Notes, e não uma fragilidade geral que afete todos os canais de comunicação da Zoom.
A vulnerabilidade envolve uma verificação de segurança, mas a Zoom não especifica quais verificações de certificado falham, quais conexões são afetadas nem quais condições de rede um atacante precisaria estabelecer.
Embora o comunicado levante preocupações sobre a exposição por meio desse recurso, ele não afirma que atacantes possam interceptar automaticamente todas as reuniões, obter credenciais de contas ou comprometer dispositivos inteiros.
No Windows, as versões afetadas do Zoom Workplace começam na 7.1.5 e incluem todas as versões anteriores à 7.2.0 e à 7.1.9, em seus respectivos ramos.
No macOS e no Linux, as versões afetadas também começam na 7.0.5 e incluem as versões anteriores às correções específicas de cada ramo.
Essa distinção é importante porque o comunicado identifica limites de correção separados, em vez de agrupar todas as instalações para desktop em uma única sequência de versões. Os administradores devem associar cada cliente instalado ao seu ramo de versão correspondente ao avaliar a exposição.
Para as plataformas móveis, a Zoom especifica que o Workplace para Android e iOS, nas versões a partir da 7.0.5 e até, mas sem incluir, a 7.2.0, são afetados.
A versão 7.2.0 é indicada como o limite de correção para os dois clientes móveis. As organizações que avaliam a exposição devem considerar essas instalações juntamente com os endpoints de desktop, já que o escopo publicado se aplica aos cinco sistemas operacionais. O boletim não lista o Zoom Rooms, o acesso pelo navegador nem outros produtos da Zoom entre os produtos afetados.
A Zoom atribui a descoberta da vulnerabilidade à sua equipe interna de segurança ofensiva, a Zoom Offensive Security. O comunicado não inclui demonstração de exploração, sequência técnica de ataque nem confirmação de que a exploração tenha ocorrido na prática.
Além disso, não especifica exatamente quais informações poderiam ser divulgadas. Essas omissões limitam a possibilidade de concluir quais são os requisitos práticos de ataque e qual é a sensibilidade precisa das informações potencialmente expostas.
A correção imediata consiste em aplicar as atualizações mais recentes do Zoom. Para implantações gerenciadas, o comunicado fornece os limites por plataforma e ramo, para ajudar a verificar se os clientes afetados foram atualizados para as versões corrigidas.
