Popüler video konferans platformu Zoom, Windows işletim sistemi için kullanıma sunduğu yeni güvenlik güncellemeleriyle kritik bir açığı giderdi. CVE-2026-53412 olarak izlenen ve 9.8 gibi yüksek bir CVSS puanına sahip olan bu güvenlik açığı, saldırganların uzaktan ağ erişimi yoluyla kullanıcı hesaplarını ele geçirmesine olanak tanıyabiliyordu. Zoom'un yayımladığı güvenlik bültenine göre, sorun özellikle Zoom Workplace for Windows'un 7.0.0 öncesi sürümlerini ve Zoom Workplace VDI Client for Windows'un 7.0.10, 6.6.15 ve 6.5.18 öncesi sürümlerini etkiliyor.
Açığın temelinde, Windows için Zoom Desktop Client ve VDI Client yazılımlarında bulunan 'Hatalı Girdi Doğrulama' (Improper Input Validation) zafiyeti yatıyor. Zoom yetkilileri, bu zafiyetin kimliği doğrulanmamış bir saldırgan tarafından kullanılarak ağ üzerinden hesap ele geçirme saldırısı düzenlenebileceğini belirtti. Bu tür bir açık, özellikle kurumsal kullanıcılar için büyük risk taşıyor; çünkü bir kez ele geçirilen hesap üzerinden hassas verilere erişilebilir veya toplantılar dinlenebilir.
Zoom'un bu hafta yayımladığı güvenlik düzeltmeleri, yalnızca kritik açıkla sınırlı değil. Şirket aynı anda üç yüksek önem dereceli güvenlik açığını daha kapattı. Bunlardan ilki olan CVE-2026-53411 (CVSS 7.8), Zoom Workplace VDI Plugin for Windows'un 6.6.14 öncesi sürümlerinde bulunan bir girdi doğrulama hatasından kaynaklanıyor ve kimliği doğrulanmış bir kullanıcının yerel erişimle ayrıcalık yükseltmesine olanak tanıyor. Bu, yetkisiz bir kullanıcının sistemde daha yüksek yetkilere sahip olması anlamına geliyor.
Sistem Güvenliği
Bir diğer yüksek önemli açık CVE-2026-53410 (CVSS 7.0), belirli Zoom Windows istemcilerinin kurulum ve kaldırma süreçlerinde 'Zaman Kontrolü-Zaman Kullanımı' (TOCTOU) yarış koşulu zafiyeti olarak tanımlanıyor. Bu açık, kimliği doğrulanmış bir yerel kullanıcının ayrıcalık yükseltmesini mümkün kılıyor. CVE-2026-53409 (CVSS 7.8) ise, Zoom Rooms for Windows'un 7.1.0 öncesi sürümlerinde yanlış ayrıcalık yönetiminden kaynaklanan bir zafiyet; yine kimliği doğrulanmış bir kullanıcının yerel erişimle ayrıcalık yükseltmesine izin veriyor.
CVE-2026-53410'un etkilediği ürün yelpazesi oldukça geniş: Zoom Workplace for Windows (7.0.5 öncesi), Zoom Workplace VDI Client for Windows (6.5.17 ve 6.6.14 öncesi), Zoom Workplace VDI plugin for Windows (6.5.17 ve 6.6.14 öncesi), Zoom Rooms for Windows (7.0.5 öncesi) ve Remote Control for Zoom Contact Center for Windows (7.0.0 öncesi). Zoom'un bu açıklarla ilgili olarak yazdığı sırada, herhangi bir aktif istismar raporu bulunmadığını belirtmekte fayda var. Ancak bu tür kritik açıkların kısa sürede hedef alınabileceği düşünülürse, güncellemelerin bir an önce yapılması şart.
Zoom kullanıcıları, bu güvenlik güncellemelerine Zoom istemci yazılımını en son sürüme güncelleyerek ulaşabilir. Windows için Zoom Workplace 7.0.0 ve üzeri sürümler, VDI Client için ise ilgili branşlardaki güncel sürümler (7.0.10, 6.6.15, 6.5.18) bu açıklara karşı koruma sağlıyor. Ayrıca Zoom'un yayımladığı güvenlik bülteninde, Meeting SDK for Windows'un etkilenen ürünler listesinden çıkarıldığı da güncellendi. Tüm kullanıcıların, otomatik güncellemeleri etkinleştirmesi veya Zoom'un resmi web sitesinden en son sürümü indirerek sistemlerini koruması öneriliyor.
Kaynak: thehackernews.com
