CVE-2026-108186 là lỗ hổng nghiêm trọng trong Zoom Workplace for Windows, được chấm 9,6/10 theo CVSS 3.1. Điểm đáng chú ý là kẻ tấn công không cần tài khoản hoặc quyền sẵn có, nhưng vẫn cần một hành động từ người dùng để hoàn tất chuỗi khai thác.
Lỗ hổng nào vừa được công bố?
Ngày 10/11/2026, Zoom phát hành bản tin ZSB-26023 về lỗi kiểm tra dữ liệu đầu vào không đúng cách, được định danh CVE-2026-108186 và ánh xạ tới CWE-20. Lỗi ảnh hưởng Zoom Workplace for Windows từ phiên bản 7.1.0 đến trước 7.1.8.
Vì sao điểm CVSS lên tới 9,6?
Vector CVSS AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H cho thấy cuộc tấn công có thể đi qua mạng, độ phức tạp thấp, không cần đặc quyền và có thể gây tác động cao tới tính bí mật, toàn vẹn lẫn sẵn sàng. Yếu tố UI:R cho biết người dùng vẫn phải thực hiện một tương tác; vì vậy “không cần xác thực” không đồng nghĩa với “hoàn toàn không cần nạn nhân tham gia”.
“Nâng quyền qua mạng” nên được hiểu thế nào?
Nâng quyền là tình huống mã hoặc người dùng có quyền hạn thấp giành được khả năng cao hơn dự kiến. Trong trường hợp này, mô tả của Zoom và hồ sơ CVE chỉ xác nhận lỗi có thể bị kích hoạt qua truy cập mạng; chưa công bố mã khai thác hay chi tiết kỹ thuật đủ để tái hiện. Các tổ chức không nên suy diễn cơ chế cụ thể, nhưng cần xử lý như một rủi ro máy trạm khẩn cấp.
Những hệ thống nào nằm trong phạm vi ảnh hưởng?
Phạm vi được xác nhận là Zoom Workplace for Windows, bắt đầu từ 7.1.0 và thấp hơn 7.1.8. Bản tin không liệt kê macOS, Linux, iOS hoặc Android trong nhóm ảnh hưởng. Quản trị viên nên kiểm kê phiên bản thực tế thay vì chỉ dựa vào chính sách cập nhật tự động.
Đã có bằng chứng khai thác thực tế chưa?
Dữ liệu bổ sung của CISA ngày 11/11 ghi trạng thái khai thác là “none”, tức chưa có bằng chứng khai thác được xác nhận tại thời điểm đánh giá. Đây không phải bảo đảm rằng hệ thống an toàn: khoảng thời gian sau công bố thường được các bên nghiên cứu và đối tượng tấn công dùng để phân tích bản vá.
Người dùng cần làm gì ngay?
- Cập nhật Zoom Workplace for Windows lên 7.1.8 hoặc mới hơn từ Download Center chính thức.
- Mở ứng dụng, kiểm tra mục trợ giúp/thông tin phiên bản và xác nhận quá trình cập nhật đã hoàn tất.
- Không mở liên kết mời họp, tệp hoặc nội dung bất thường từ nguồn không xác định.
- Khởi động lại ứng dụng sau cập nhật nếu quy trình triển khai của tổ chức yêu cầu.
Quản trị viên doanh nghiệp nên kiểm soát ra sao?
Đội CNTT nên truy vấn phiên bản trên toàn bộ máy Windows, ưu tiên nhóm có quyền quản trị hoặc truy cập dữ liệu nhạy cảm, sau đó cưỡng chế mốc tối thiểu 7.1.8. Nhật ký EDR, proxy và email cần được rà soát cho các chuỗi sự kiện bất thường liên quan lời mời họp hoặc tiến trình con do ứng dụng tạo ra; mọi phát hiện phải được đối chiếu bằng dữ liệu thực tế, không dựa trên giả định về khai thác.
Bài học bảo mật từ CVE-2026-108186
Các công cụ cộng tác hiện diện trên hầu hết máy trạm nên có giá trị lớn với kẻ tấn công. Biện pháp bền vững là quản lý phiên bản tập trung, thu hẹp quyền cục bộ, phân đoạn quyền truy cập và giám sát hành vi tiến trình. Bản vá nhanh giải quyết lỗ hổng cụ thể; quản trị đặc quyền và khả năng quan sát giúp giảm hậu quả nếu một lỗ hổng mới xuất hiện.
VNCyberS tổng hợp từ Zoom Security Bulletin, NVD, CISA và The Hacker News
Tiếng Việt
English