Se han detectado dos fallos de validación de certificados de severidad alta en los clientes de Zoom. Estas vulnerabilidades podrían permitir que atacantes sin credenciales de acceso obtengan información sensible a través de la red. Los problemas afectan específicamente a los clientes de Windows y a la función "My Notes" en plataformas móviles y de escritorio, por lo que se recomienda actualizar la aplicación urgentemente.

Dos fallos de validación de certificados de severidad alta en los clientes de Zoom podrían permitir que atacantes sin credenciales de inicio de sesión accedan a información sensible a través de una red, según el texto de aviso con fecha del 13 de octubre de 2026.

Los problemas afectan a los clientes de Windows y a la función "Mis Notas" en plataformas de escritorio y móviles, por lo que las actualizaciones son importantes tanto para ti si eres un usuario personal como para los despliegues empresariales.

Las vulnerabilidades, rastreadas como CVE-2026-108184 y CVE-2026-108185, tienen cada una una puntuación CVSS v3.1 de 7.4. Zoom Offensive Security reportó ambas.

Los boletines suministrados describen riesgos de divulgación de información, pero no identifican los datos exactos que podrían quedar expuestos, no proporcionan un ejemplo de ataque ni indican si alguno de los fallos ha sido explotado.

Fallo de validación de certificados de Zoom

La validación de certificados ayuda a que el software verifique que se está comunicando con un servicio confiable. Cuando estas comprobaciones fallan, una aplicación puede aceptar una conexión que debería rechazar.

MITRE describe esta debilidad como una validación de certificado inadecuada y explica que puede permitir que los atacantes suplanten sistemas confiables o interfieran con comunicaciones protegidas.

Ese riesgo general no establece el método de ataque preciso para estos fallos de Zoom. Las divulgaciones proporcionadas no dicen si el problema involucra la confianza del certificado, las comprobaciones de expiración, la identidad del servidor u otro paso de validación.

Por lo tanto, las afirmaciones de que los atacantes pueden robar contraseñas, grabaciones de reuniones o todas las notas del usuario irían más allá de los detalles disponibles. Las descripciones de Zoom identifican específicamente la divulgación de información, no la ejecución remota de código o la toma de control de cuentas.

Según los boletines de seguridad publicados por Zoom, el CVE-2026-108184 aparece en el boletín ZSB-26021 y afecta a ciertos clientes de Zoom para Windows.

Las versiones afectadas de Zoom Workplace comienzan en la versión 7.0.0 y siguen siendo vulnerables antes de las versiones 7.2.0 y 7.1.9 en sus respectivas ramas. Esta redacción sobre las ramas es importante porque el objetivo de actualización correcto depende de la línea de lanzamiento que tengas instalada.

El mismo fallo afecta al Cliente VDI de Zoom Workplace para Windows desde la versión 7.0.11 hasta antes de la 7.0.13. Zoom Rooms para Windows se ve afectado desde la versión 7.0.0 hasta antes de la 7.1.7.

Si gestionas una empresa, deberías comprobar estos productos por separado en lugar de asumir que actualizar la aplicación Workplace estándar también soluciona los clientes de escritorio virtual o los sistemas de salas de reuniones.

El CVE-2026-108185, descrito en ZSB-26022, afecta la validación de certificados en "Mis Notas". En Windows, el rango de Workplace afectado comienza en 7.1.5. En macOS y Linux, comienza en 7.0.5.

Cada plataforma de escritorio requiere la versión 7.2.0 o 7.1.9 en su rama respectiva para salir del rango afectado enumerado. Zoom Workplace para Android e iOS también se ve afectado por el problema de "Mis Notas", comenzando en la versión 7.0.5 y continuando antes de la 7.2.0. El boletín no explica si se requieren configuraciones específicas de la función para la explotación.

Desactivar "Mis Notas" no debe presentarse como una solución provisional confirmada sin más orientación de Zoom. Debes instalar la última versión compatible a través del Centro de Descargas oficial de Zoom. La página de boletines de seguridad de Zoom también recomienda mantener el software actualizado para recibir correcciones y mejoras de seguridad.

Para entornos gestionados, los rangos de versiones afectados proporcionan un punto de partida práctico para comprobar qué instalaciones aún necesitan atención.

Los administradores deben confirmar las versiones instaladas después del despliegue, incluyendo los dispositivos fuera de la oficina principal y los sistemas mantenidos por equipos independientes.

Un despliegue completo debe cubrir Windows Workplace, VDI, Rooms y los clientes afectados de "Mis Notas" en móviles y escritorio, en lugar de solo los portátiles de los empleados más visibles.

Estas divulgaciones siguen a vulnerabilidades anteriores de los clientes de Zoom y a un fallo independiente de toma de control de cuentas en Windows. Esos informes ofrecen un contexto útil, pero sus métodos de ataque y consecuencias no deben aplicarse a estos nuevos problemas de certificados.

Fuentes:
https://cybersecuritynews.com/zoom-certificate-validation-flaw/