La compañía publica parches para dos vulnerabilidades de Zoom Workplace que podrían permitir elevar privilegios a través de la red sin necesidad de disponer de una cuenta. Los equipos con versiones antiguas deben actualizarse.
Una vulnerabilidad crítica pone en alerta a los usuarios de Zoom
La seguridad de Zoom Workplace para Windows vuelve a estar bajo el foco. La compañía ha publicado dos avisos de seguridad para corregir vulnerabilidades que podrían permitir a un atacante elevar sus privilegios en un equipo afectado mediante acceso a la red, incluso sin contar con una cuenta o permisos previos en la plataforma.
El fallo más grave, identificado como CVE-2026-108186, tiene una puntuación de 9,6 sobre 10 en la escala CVSS, que mide la gravedad de las vulnerabilidades informáticas. Zoom lo ha clasificado como crítico y ha confirmado que afecta a las versiones de Workplace para Windows comprendidas entre la 7.1.0 y las anteriores a la 7.1.8.
La segunda vulnerabilidad, CVE-2026-108187, cuenta con una puntuación de 8,1, considerada alta. En este caso, el problema afecta a las versiones anteriores a la 7.1.5.
Los dos avisos oficiales fueron publicados por Zoom el 10 de noviembre de 2026. La información fue difundida posteriormente por el medio especializado The Hacker News, que alertó del riesgo para los usuarios que todavía no hayan instalado las actualizaciones.
La advertencia merece especial atención en empresas, administraciones públicas y organizaciones que utilizan Zoom como herramienta habitual de comunicación. Una aplicación de videoconferencias no es un elemento aislado: forma parte del entorno de trabajo y puede convivir en el mismo equipo con documentos, credenciales, herramientas corporativas y datos sensibles.
CVE-2026-108186: el fallo más grave alcanza una puntuación de 9,6
La vulnerabilidad principal está relacionada con una validación incorrecta de entradas. En términos sencillos, el programa no comprueba adecuadamente determinados datos que recibe, una deficiencia que puede abrir la puerta a comportamientos no autorizados.
Según el boletín ZSB-26023, publicado por Zoom, un usuario no autenticado podría aprovechar el problema mediante acceso a la red para conseguir una elevación de privilegios.
La puntuación asignada es de 9,6 en CVSS 3.1, dentro de la categoría crítica. El registro técnico incluye los siguientes parámetros:
- AV:N: el ataque puede realizarse a través de la red.
- AC:L: la complejidad del ataque se considera baja.
- PR:N: no se requieren privilegios previos.
- UI:R: el vector contempla que sea necesaria alguna interacción del usuario.
- C:H: el impacto potencial sobre la confidencialidad se considera alto.
- I:H: el impacto potencial sobre la integridad también se considera alto.
- A:H: el impacto potencial sobre la disponibilidad se considera alto.
Este último detalle es importante. Aunque el boletín habla de un usuario no autenticado, el vector CVSS incorpora el requisito de interacción del usuario. Por tanto, no debe interpretarse como una vulnerabilidad que necesariamente pueda explotarse de forma completamente automática y sin intervención alguna.
Zoom identifica como afectadas las instalaciones de Zoom Workplace para Windows desde la versión 7.1.0 hasta cualquier versión anterior a la 7.1.8.
La compañía atribuye el descubrimiento a su propio equipo de seguridad ofensiva, según recoge el aviso oficial.
CVE-2026-108187: un segundo fallo con gravedad alta
El segundo problema de seguridad está identificado como CVE-2026-108187 y se debe a un error en la validación del origen (origin validation).
Este tipo de comprobación sirve para verificar la procedencia de determinadas solicitudes o comunicaciones. Si el control no funciona correctamente, una aplicación puede aceptar operaciones que deberían ser rechazadas.
El boletín ZSB-26024 establece una puntuación de 8,1 sobre 10 y clasifica el fallo como de gravedad alta.
Al igual que en el caso anterior, Zoom advierte de que un usuario no autenticado podría conseguir una elevación de privilegios mediante acceso a la red. El vector CVSS también incluye el requisito de interacción del usuario.
La vulnerabilidad afecta a Zoom Workplace para Windows en versiones anteriores a la 7.1.5. Zoom atribuye su comunicación a un investigador identificado con el nombre de usuario shmoul.
Aunque su puntuación es inferior a la del primer fallo, no debe considerarse un problema menor. Una vulnerabilidad de esta naturaleza puede comprometer las garantías de seguridad de un entorno informático si se combina con otras debilidades o con una configuración deficiente.
Qué versiones de Zoom están afectadas y qué actualización hay que instalar
Los dos fallos tienen rangos de versiones diferentes. Esta distinción es relevante para los departamentos informáticos y para cualquier usuario que quiera comprobar si su equipo está expuesto.
| Vulnerabilidad | Gravedad | Versiones afectadas |
|---|---|---|
| CVE-2026-108186 | Crítica, 9,6 | Desde 7.1.0 hasta anteriores a 7.1.8 |
| CVE-2026-108187 | Alta, 8,1 | Anteriores a 7.1.5 |
La versión 7.1.8 o posterior queda fuera de los rangos afectados que describen ambos boletines. No obstante, la recomendación de Zoom es instalar la última versión disponible, no limitarse a buscar una versión concreta.
La descarga debe realizarse desde el canal oficial de la compañía:
Para comprobar qué versión está instalada, el usuario puede abrir Zoom Workplace y consultar la información de la aplicación desde su menú de perfil o configuración. La ubicación exacta puede variar según la versión.
En organizaciones con numerosos ordenadores, la comprobación debería realizarse de forma centralizada. No basta con actualizar el equipo de un empleado si otros dispositivos siguen utilizando una versión vulnerable.
Por qué una elevación de privilegios puede ser peligrosa
La expresión «elevación de privilegios» describe una situación en la que un atacante consigue permisos superiores a los que debería tener.
En un sistema informático, los usuarios y las aplicaciones trabajan con distintos niveles de autorización. Una cuenta estándar, por ejemplo, no debería poder realizar todas las operaciones reservadas a un administrador.
Cuando un fallo permite superar esas restricciones, el atacante puede obtener capacidades adicionales dentro del sistema. El alcance concreto depende de la vulnerabilidad, de los permisos disponibles y de las condiciones en las que se produzca el ataque.
Entre los riesgos generales asociados a una elevación de privilegios se encuentran:
- Acceso a información protegida: el atacante podría llegar a recursos que no estaban disponibles con sus permisos iniciales.
- Modificación de datos: una cuenta con mayores privilegios puede disponer de capacidad para alterar información o configuraciones.
- Compromiso de otros componentes: el acceso ampliado puede facilitar movimientos posteriores dentro del equipo o de la red.
- Interrupción de servicios: determinados privilegios permiten modificar procesos o configuraciones esenciales.
Conviene precisar que estos son riesgos generales de la elevación de privilegios. Los boletines publicados por Zoom no describen una explotación concreta ni detallan qué acciones habría realizado un atacante en un sistema comprometido.
Tampoco debe confundirse automáticamente una elevación de privilegios con la ejecución remota de código o con el control completo de un ordenador. Son categorías técnicas distintas, aunque en determinados escenarios puedan formar parte de una misma cadena de ataque.
Zoom no confirma ataques activos contra estas vulnerabilidades
Uno de los aspectos que conviene destacar es la situación de explotación conocida.
En la información publicada por The Hacker News no consta que Zoom haya comunicado ataques activos que estén aprovechando estas dos vulnerabilidades. Los avisos oficiales describen los fallos y recomiendan instalar las actualizaciones, pero no aportan pruebas de que estén siendo utilizados de forma generalizada por ciberdelincuentes.
Esto no significa que el riesgo sea inexistente. La ausencia de una explotación confirmada no elimina la necesidad de corregir una vulnerabilidad crítica, especialmente cuando afecta a una aplicación instalada en equipos conectados a redes corporativas.
La prudencia exige separar tres cuestiones:
- La existencia del fallo: confirmada por los boletines de seguridad de Zoom.
- La posibilidad técnica de explotación: reconocida por el fabricante en sus descripciones.
- La existencia de ataques reales: no comunicada en la información consultada.
Esta distinción es fundamental para evitar tanto el alarmismo como una falsa sensación de seguridad.
Un nuevo recordatorio sobre los riesgos del software de uso cotidiano
Zoom Workplace se ha convertido en una herramienta habitual para reuniones, llamadas y colaboración profesional. Su presencia en empresas, centros educativos y organizaciones hace que cualquier vulnerabilidad relevante merezca atención.
El problema no afecta a todos los sistemas operativos de forma indistinta: los dos avisos analizados se refieren específicamente a Zoom Workplace para Windows. No hay que extrapolar automáticamente estos fallos a las versiones para macOS, Linux, Android o iOS.
Sin embargo, el incidente vuelve a poner sobre la mesa una cuestión que muchas organizaciones siguen tratando de forma insuficiente: la actualización del software instalado en los puestos de trabajo.
Las aplicaciones de comunicación también necesitan mantenimiento y supervisión. Una herramienta utilizada a diario puede convertirse en una puerta de entrada si permanece desactualizada, especialmente cuando el fabricante publica un aviso de gravedad crítica.
En el ámbito empresarial, la responsabilidad no debería recaer exclusivamente en cada empleado. Los administradores de sistemas deben disponer de inventarios de software, políticas de actualización y mecanismos para comprobar que los parches se han desplegado correctamente.
También es recomendable revisar los equipos que permanecen desconectados durante largos periodos, los ordenadores portátiles que trabajan fuera de la oficina y los dispositivos que no reciben actualizaciones automáticas.
Qué deben hacer ahora los usuarios y las empresas
La medida prioritaria es actualizar Zoom Workplace para Windows a la última versión disponible. A partir de ahí, conviene seguir una serie de pasos:
- Comprobar la versión instalada en todos los equipos Windows que utilicen Zoom Workplace.
- Descargar la actualización oficial desde el centro de descargas de Zoom.
- Revisar los dispositivos corporativos mediante las herramientas de administración de software.
- Confirmar que el parche se ha aplicado y que la versión instalada ya no está dentro de los rangos afectados.
- Mantener actualizado Windows y el resto de aplicaciones, para reducir la exposición a vulnerabilidades adicionales.
- Consultar los avisos oficiales de Zoom y las recomendaciones del equipo de seguridad de la organización.
Si un equipo presenta comportamientos anómalos o existen indicios de acceso no autorizado, la actualización por sí sola no sustituye a una investigación de seguridad. En ese escenario, la organización debería revisar los registros disponibles y valorar las medidas de contención adecuadas.
La seguridad no puede depender de que aparezca un ataque
Los dos fallos de Zoom muestran por qué las actualizaciones de seguridad no son un trámite secundario. Una vulnerabilidad con una puntuación de 9,6 exige una respuesta rápida, incluso cuando no hay constancia pública de que los atacantes la estén explotando.
La cuestión no es únicamente la seguridad de una aplicación de videoconferencias. En muchos equipos, Zoom convive con información profesional, documentos internos y herramientas de acceso a redes empresariales. Por eso, una debilidad en el software puede tener consecuencias que van más allá de una reunión virtual.
La recomendación es clara: comprobar la versión de Zoom Workplace para Windows e instalar la actualización más reciente. Esperar a que se conozcan ataques reales para actuar sería una mala política de ciberseguridad.
Toqueteo
Toqueteo
Toqueteo