Критична уязвимост от тип „инжектиране на команди“ в Zoom позволява отдалечено изпълнение на код
22 януари 2026
Критична уязвимост от тип инжектиране на команди в мултимедийните рутери на Node (Node Multimedia Routers – MMR) би могла да позволи на участници в среща да изпълняват произволен код върху засегнатите системи.
Уязвимостта, проследявана като CVE-2026-22844, има CVSS рейтинг на сериозност 9.9 – практически най-високият възможен резултат, което показва изключително опасна заплаха, изискваща незабавни мерки.
Детайли на уязвимостта
Дефектът за инжектиране на команди съществува във версии на Zoom Node MMR преди 5.2.1716.0. Той засяга два основни сценария на внедряване: средите Zoom Node Meetings Hybrid (ZMH) и Zoom Node Meeting Connector (MC). Уязвимостта изисква само мрежов достъп и ниско ниво на привилегии за експлоатация, без да е необходимо взаимодействие с потребител.
Атакуващ с валидни идентификационни данни на участник в среща би могъл да използва този недостатък, за да постигне отдалечено изпълнение на код директно върху MMR инфраструктурата.
Критичното естество на уязвимостта произтича от нейния мрежово достъпен вектор и способността ѝ да компрометира цялата система. Векторът по CVSS е: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.
Недостатъкът демонстрира високо въздействие върху поверителността, целостта и наличността (CIA), което означава, че атакуващите могат едновременно да крадат данни, да променят системни конфигурации и да прекъсват услугите.
Засегнати продукти и мерки за защита
Организациите, които използват Zoom Node Meetings, Hybrid или Meeting Connector, са изложени на незабавен риск. Уязвимостта е насочена конкретно към MMR модули с версии преди 5.2.1716.0. Zoom приписва откритието на своя собствен екип за офанзивна сигурност.
Zoom настоятелно съветва администраторите незабавно да актуализират засегнатите MMR модули до версия 5.2.1716.0 или по-нова. Компанията публикува подробни насоки в своята документация за поддръжка относно управлението на актуализации за Zoom Node.
Организациите трябва да приоритизират тази актуализация като критична, третирайки я със същата спешност като реакцията при уязвимости от типа „нулев ден“.
Като се има предвид ниската сложност на атаката и изискването само за базово ниво на достъп като участник, рискът от експлоатация в реална среда е значителен.
Поради критичния рейтинг на сериозност и лекотата на експлоатиране, тази уязвимост представлява съществен риск за сигурността, изискващ спешно внимание във всички засегнати среди.
Източник: https://cybersecuritynews.com/
