Zoom ha publicado cuatro boletines de seguridad el 10 de marzo de 2026, revelando múltiples vulnerabilidades en su suite de clientes para Windows. Las fallas, que varían de gravedad Alta a Crítica, podrían permitir a los atacantes escalar privilegios en sistemas afectados, incluyendo una vulnerabilidad crítica explotable por atacantes remotos no autenticados sin acceso previo al sistema.

Zoom ha publicado cuatro boletines de seguridad el 10 de marzo de 2026, revelando múltiples vulnerabilidades en su suite de clientes para Windows.

Los fallos, que van desde gravedad Alta hasta Crítica, podrían permitir a los atacantes escalar privilegios en sistemas afectados, con una vulnerabilidad crítica explotable por atacantes remotos no autenticados sin acceso previo al sistema.

La vulnerabilidad más grave, identificada como CVE-2026-30903 (ZSB-26005), está clasificada como Crítica y afecta a la función de Correo dentro de Zoom Workplace para Windows.

El fallo proviene de un Control Externo del Nombre o Ruta de Archivo, una debilidad que permite a un atacante manipular referencias de archivos para ejecutar operaciones no autorizadas. Un usuario no autenticado podría explotar esta vulnerabilidad mediante acceso a la red para escalar privilegios en sistemas afectados.

 

El vector CVSS confirma que el ataque no requiere autenticación y puede lanzarse de forma remota, lo que la convierte en la más peligrosa de las cuatro divulgaciones. Todas las instalaciones de Zoom Workplace para Windows con versiones anteriores a la 6.6.0 están afectadas.

Vulnerabilidades de Gestión de Privilegios y Validación de Entrada

Tres vulnerabilidades adicionales de gravedad Alta completan el lote de divulgaciones. CVE-2026-30902 (ZSB-26004) afecta a los Clientes de Zoom para Windows e implica una Gestión Incorrecta de Privilegios, donde privilegios de usuario asignados incorrectamente podrían ser abusados para obtener acceso elevado no autorizado.

CVE-2026-30901 (ZSB-26003) afecta a Zoom Rooms para Windows e implica una Validación Incorrecta de Entrada, una clase de vulnerabilidad que permite entradas malformadas o inesperadas para desencadenar comportamientos no deseados, potencialmente incluyendo ejecución de código o cambios de privilegios.

 

CVE-2026-30900 (ZSB-26002) afecta a los Clientes de Zoom Workplace para Windows y se describe como un fallo de Verificación Incorrecta, lo que sugiere un error en la lógica de verificación que podría ser aprovechado para eludir controles de acceso.

Zoom ha parcheado consistentemente problemas similares de escalada de privilegios en el lado de Windows en ciclos recientes, incluyendo un Crítico CVE-2025-49457 (CVSS 9.6) divulgado en agosto de 2025, que también permitía escalada de privilegios basada en red sin autenticación en múltiples clientes de Windows.

ID de CVE	Boletín	Producto	Tipo de Vulnerabilidad	Gravedad	Publicado
CVE-2026-30903	ZSB-26005	Zoom Workplace para Windows	Control Externo del Nombre o Ruta de Archivo	Crítica	10/03/2026
CVE-2026-30902	ZSB-26004	Clientes de Zoom para Windows	Gestión Incorrecta de Privilegios	Alta	10/03/2026
CVE-2026-30901	ZSB-26003	Zoom Rooms para Windows	Validación Incorrecta de Entrada	Alta	10/03/2026
CVE-2026-30900	ZSB-26002	Clientes de Zoom Workplace para Windows	Verificación Incorrecta	Alta	10/03/2026

Mitigaciones Recomendadas

Zoom ha emitido parches que abordan las cuatro vulnerabilidades. Las organizaciones y usuarios individuales deben tomar las siguientes medidas de inmediato:

• Actualizar todas las instalaciones de Zoom Workplace para Windows a la versión 6.6.0 o posterior.
• Actualizar Zoom Rooms para Windows y Clientes de Zoom para Windows a la última versión disponible.
• Descargar las actualizaciones directamente desde el portal oficial de descargas de Zoom en zoom.us/download.
• Priorizar el parcheo de endpoints donde Zoom Workplace se utilice activamente, especialmente en entornos empresariales con uso intensivo de correo o escritorios virtuales.
• Auditar las configuraciones de privilegios de usuario dentro de las implementaciones de Zoom para limitar el radio de impacto en caso de explotación.
• Monitorear el tráfico de red en busca de patrones anómalos de acceso a archivos relacionados con Zoom que puedan indicar intentos de explotación contra CVE-2026-30903.

Zoom insta a todos los usuarios de Windows a aplicar estas actualizaciones sin demora, señalando que no hay mitigaciones adicionales disponibles fuera de actualizar a la versión parcheada.

Fuentes:
https://cybersecuritynews.com/zoom-workplace-for-windows-vulnerabilities/