Zoom ha publicado actualizaciones de seguridad de emergencia que corrigen la vulnerabilidad crítica CVE-2026-53412 con puntuación CVSS 9.8 en la gama de productos Zoom Workplace para Windows. La vulnerabilidad permite que un atacante no autenticado se apodere de la cuenta de un usuario a través del acceso a la red, sin ninguna interacción por parte de la víctima. Se ven afectados Zoom Desktop Client, Zoom VDI Client y Zoom Meeting SDK para Windows. Además de la vulnerabilidad crítica, la compañía ha corregido otras tres vulnerabilidades de alta gravedad relacionadas con la elevación de privilegios. Todas las organizaciones que usan Zoom en Windows deben actualizar de inmediato sus clientes a las versiones actuales.
Vulnerabilidad crítica: CVE-2026-53412
Según el boletín de seguridad de Zoom (ZSB-26014), la causa raíz de la vulnerabilidad es una validación incorrecta de las entradas (Improper Input Validation). Su explotación no requiere autenticación: un atacante puede llevar a cabo el ataque de forma remota a través del acceso a la red, lo que justifica la puntuación CVSS máxima de 9.8. El resultado de una explotación exitosa es la toma completa de la cuenta (account takeover).
La vulnerabilidad afecta a tres productos:
- Zoom Desktop Client para Windows
- Zoom VDI Client para Windows
- Zoom Meeting SDK para Windows
La combinación de factores —ausencia de necesidad de autenticación, vector de ataque de red y nivel de impacto crítico— hace que esta vulnerabilidad sea prioritaria para su corrección inmediata. La entrada en la NVD (CVE-2026-53412) está disponible para su seguimiento.
Tres vulnerabilidades adicionales de alta gravedad
Al mismo tiempo, Zoom ha corregido tres vulnerabilidades relacionadas con la elevación de privilegios a nivel local:
CVE-2026-53411 — elevación de privilegios a través de VDI Plugin (CVSS 7.8)
Vulnerabilidad de validación incorrecta de las entradas en Zoom Workplace VDI Plugin para Windows en versiones anteriores a la 6.6.14. Un usuario autenticado puede elevar sus privilegios mediante acceso local. Más detalles en el boletín ZSB-26013.
CVE-2026-53410 — condición de carrera TOCTOU (CVSS 7.0)
Vulnerabilidad de tipo Time-of-Check to Time-of-Use (TOCTOU) en el proceso de instalación y desinstalación de varios clientes de Zoom para Windows. Un usuario local autenticado puede explotar la condición de carrera para elevar privilegios. Según el boletín ZSB-26012, la vulnerabilidad afecta al mayor número de productos:
- Zoom Workplace para Windows — versiones anteriores a la 7.0.5
- Zoom Workplace VDI Client para Windows — versiones anteriores a la 6.5.17 y 6.6.14 (en las ramas correspondientes)
- Zoom Workplace VDI Plugin para Windows — versiones anteriores a la 6.5.17 y 6.6.14 (en las ramas correspondientes)
- Zoom Rooms para Windows — versiones anteriores a la 7.0.5
- Remote Control for Zoom Contact Center para Windows — versiones anteriores a la 7.0.0
CVE-2026-53409 — gestión incorrecta de privilegios (CVSS 7.8)
Vulnerabilidad en la gestión de privilegios en Zoom Rooms para Windows en versiones anteriores a la 7.1.0, que permite a un usuario autenticado elevar privilegios mediante acceso local. Los detalles están disponibles en el boletín ZSB-26011.
Evaluación del impacto
La vulnerabilidad crítica CVE-2026-53412 representa la mayor amenaza para los entornos corporativos donde Zoom Workplace está desplegado en un gran número de estaciones de trabajo Windows. El secuestro de cuentas a través de la red sin autenticación implica que un atacante con acceso a la red de la máquina objetivo podría, potencialmente, obtener el control de la cuenta de Zoom y, a través de ella, acceso a comunicaciones corporativas, grabaciones de reuniones y datos de contacto.
Las tres vulnerabilidades de elevación de privilegios (CVE-2026-53411, CVE-2026-53410, CVE-2026-53409) requieren acceso local y autenticación, lo que reduce su criticidad en comparación con CVE-2026-53412. Sin embargo, en escenarios en los que el atacante ya ha obtenido un acceso inicial al sistema, estas vulnerabilidades pueden utilizarse para escalar el ataque. Deberían prestar especial atención las organizaciones que utilizan infraestructura VDI y Zoom Rooms, ya que estos productos suelen operar en entornos de acceso compartido.
Ninguna de las cuatro vulnerabilidades se ha incluido en el catálogo CISA KEV y, en el momento de la publicación de los boletines, no se habían recibido datos sobre explotación activa en ataques reales.
Recomendaciones de mitigación
- Actualice de inmediato todos los clientes de Zoom para Windows a las versiones actuales: Zoom Workplace a la 7.0.5 o superior, los componentes VDI a la 6.5.17 o 6.6.14 (según la rama), Zoom Rooms a la 7.1.0 y Remote Control for Zoom Contact Center a la 7.0.0.
- Realice un inventario de todas las instalaciones de Zoom en el entorno corporativo, incluidos los plugins VDI y Meeting SDK, que pueden estar integrados en aplicaciones de terceros.
- Priorice CVE-2026-53412 como vulnerabilidad crítica: su CVSS 9.8 y vector de red sin autenticación la sitúan en la categoría de máxima prioridad para el parcheo.
- Para las organizaciones que no puedan actualizarse de inmediato: limite el acceso de red a las máquinas con versiones vulnerables de Zoom mediante segmentación de red y cortafuegos.
- Revise los registros en busca de actividad anómala relacionada con cuentas de Zoom; a pesar de la ausencia de datos sobre explotación, la publicación de los detalles de la vulnerabilidad aumenta la probabilidad de aparición de exploits.
Dada la puntuación CVSS 9.8 y la posibilidad de explotación remota sin autenticación, la actualización de los clientes de Zoom para Windows a las versiones corregidas debe realizarse dentro de un ciclo de parcheo de emergencia, sin esperar a la ventana de mantenimiento planificada. Las versiones actuales pueden descargarse a través del mecanismo estándar de actualización de Zoom o mediante los sistemas corporativos de gestión de software.
