// HEISE ONLINE — CYBERSECURITY
Zoom für Windows: Angreifer können Rechte über das Netz ausweiten
Mit aktualisierten Paketen beseitigt Zoom zwei gravierende Sicherheitslücken in der Windows-Version, die die Rechteausweitung ermöglichen.
Mit Ihrer Zustimmung wird hier ein externes Video (TargetVideo GmbH) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden.
Damit können personenbezogene Daten an Drittplattformen (TargetVideo GmbH) übermittelt werden.
Mehr dazu in unserer
Datenschutzerklärung.
Die Webkonferenzsoftware Zoom weist zwei Schwachstellen auf, durch die Angreifer aus dem Netz ihre Rechte ausweiten können. Das gelingt ohne vorherige Anmeldung, setzt laut CVSS-Einstufung aber eine Interaktion des Opfers voraus. Aktualisierte Software steht bereit, um die Lücken in der Windows-Version zu schließen.
Zoom erklärt die Schwachstellen lediglich kurz und oberflächlich. Aufgrund einer unzureichenden Eingabeprüfung in Zoom Workplace für Windows können nicht authentifizierte Angreifer eine Rechteausweitung über das Netz provozieren. Wie ein Angriff aussehen könnte oder woran das zu erkennen wäre, erklärt Zoom nicht (CVE-2026-108186, CVSS 9.6, Risiko „kritisch“). Eine fehlerhafte Herkunftsprüfung kann ebenfalls dazu führen, dass nicht angemeldete bösartige Akteure aus dem Netz ihre Rechte ausweiten (CVE-2026-108187, CVSS 8.1, Risiko „hoch“).
Anfällig ist Zoom Workplace für Windows für die kritische Sicherheitslücke ab Version 7.1.0; die zweite Schwachstelle scheint auch ältere Fassungen zu betreffen. Die Softwarefassung 7.1.8 schließt die schwerwiegendere Lücke, die hochriskante wird von Zoom Workplace für Windows 7.1.5 beseitigt. Aktuell steht Version 7.2.5 auf der Webseite von Zoom zum Herunterladen bereit und beseitigt die sicherheitsrelevanten Fehler und vermutlich weitere. Unter Windows kann auch WinGet helfen, die Zoom-Apps auf den aktuellen Stand zu bringen. Der Aufruf von winget upgrade --all an der Eingabeaufforderung liefert Updates für diverse installierte Programme.
Die kritische Lücke hat Zooms Offensive-Security-Team intern gefunden, die zweite meldete ein Sicherheitsforscher mit dem Pseudonym shmoul. Beide Schwachstellen werden offenbar noch nicht im Netz missbraucht – zumindest schreibt Zoom nichts Derartiges.
Mitte August hatte Zoom vor einer Zero-Klick-Lücke gewarnt. Konferenzteilnehmer konnten dadurch anderen beliebigen Code unterjubeln.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.