Zoom für Windows: Zwei Lücken erlauben Rechteausweitung übers Netz – Updates sind da

Hallo, hier ist wieder Kora. Heute geht es um ein Stück Software, das auf gefühlt jedem zweiten Firmenrechner läuft und trotzdem selten im Patch-Plan auftaucht: Zoom. Für die Windows-Variante gibt es zwei frisch geschlossene Schwachstellen – und eine davon ist richtig unangenehm.

Was gemeldet wurde

Zoom hat zwei Sicherheitslücken in Zoom Workplace für Windows behoben. Die schwerwiegendere (CVE-2026-108186, CVSS 9.6, Risiko "kritisch") geht auf eine unzureichende Eingabeprüfung zurück. Nicht authentifizierte Angreifer können darüber aus dem Netz ihre Rechte ausweiten. Die zweite (CVE-2026-108187, CVSS 8.1, "hoch") beruht auf einer fehlerhaften Herkunftsprüfung und erlaubt ebenfalls eine Rechteausweitung ohne vorherige Anmeldung.

Laut CVSS-Einstufung ist jeweils eine Interaktion des Opfers nötig – also irgendein Klick, ein Beitritt, eine Aktion. Wie genau ein Angriff aussehen würde, verrät Zoom nicht. Das ist leider üblich, hilft Admins beim Erkennen aber herzlich wenig. Immerhin: Die kritische Lücke hat Zooms eigenes Offensive-Security-Team gefunden, die zweite meldete ein Forscher unter dem Pseudonym shmoul. Hinweise auf aktive Angriffe gibt es bislang nicht.

Welche Versionen betroffen sind

• Die kritische Lücke betrifft Zoom Workplace für Windows ab Version 7.1.0 und wird mit 7.1.8 geschlossen.
• Die hochriskante Lücke scheint auch ältere Fassungen zu betreffen und ist ab 7.1.5 behoben.
• Auf der Zoom-Webseite steht aktuell Version 7.2.5 bereit – damit sind beide Probleme erledigt, vermutlich noch ein paar weitere dazu.

Mein pragmatischer Rat: Nicht lange die exakten Mindestversionen vergleichen, sondern direkt auf den aktuellen Stand gehen. Unter Windows geht das auch bequem über den Paketmanager: Ein winget upgrade --all in der Eingabeaufforderung aktualisiert Zoom zusammen mit anderen installierten Programmen.

Warum mich das Thema als Hosterin interessiert

Zoom läuft nicht in unseren Racks, sondern auf den Endgeräten – und genau das ist der Punkt. Die meisten Unternehmen patchen Server, Hypervisoren und Firewalls mit viel Disziplin, während Desktop-Kollaborationssoftware durchrutscht. Dabei ist eine Rechteausweitung auf einem Admin-Arbeitsplatz oft der Einstieg in genau die Infrastruktur, die man so sorgfältig abgeschottet hat. Wer von seinem Notebook aus per SSH, VPN oder Management-Konsole in die Serverumgebung greift, sollte dieses Notebook mit demselben Ernst behandeln wie einen produktiven Host.

Dazu kommt: Eine Konferenzsoftware ist naturgemäß nach außen offen. Sie nimmt Einladungslinks, Chatinhalte, Dateien und Medienströme von fremden Teilnehmern entgegen. Dass Zoom erst Mitte August vor einer Zero-Klick-Lücke gewarnt hat, bei der Konferenzteilnehmer anderen Code unterschieben konnten, zeigt die Angriffsfläche ganz gut.

Was ich konkret empfehle

• Zoom Workplace für Windows flottenweit auf 7.2.5 (oder neuer) bringen – über eure Softwareverteilung, Intune, WSUS-Alternative oder eben winget.
• Automatische Updates für Zoom aktiviert lassen und nicht aus Bequemlichkeit per Policy abschalten.
• Kollaborations- und Kommunikationssoftware fest in die Schwachstellenverwaltung aufnehmen, nicht nur Betriebssystem und Browser.
• Admin-Arbeitsplätze trennen: Wer Infrastruktur verwaltet, sollte das möglichst nicht auf demselben Benutzerkonto tun, auf dem die Videokonferenz läuft.
• Lokale Benutzer ohne Administratorrechte arbeiten lassen – das begrenzt zwar nicht jede Rechteausweitung, nimmt aber vielen Angriffsketten den letzten Schritt ab.

Unterm Strich: kein Grund zur Panik, aber ein guter Anlass, einmal durch die Softwarelisten zu schauen. CVSS 9.6 ohne vorherige Anmeldung ist nichts, worauf man gelassen ein paar Wochen sitzen bleibt.

Bis demnächst, eure Kora

Quelle: heise online