Nuove vulnerabilità critiche e alte in prodotti Zoom per Windows

Contesto

L'ACN / CSIRT Italia ha pubblicato un alert riguardo a nuove vulnerabilità scoperte in vari prodotti Zoom per sistemi operativi Windows. Tra queste, una è classificata con gravità “critica” e altre tre con gravità “alta”.

Le vulnerabilità, identificate come Privilege Escalation e Authentication Bypass, interessano specifiche versioni di Zoom Desktop Client, Zoom VDI Client, Zoom Meeting SDK, Zoom Clients e versioni precedenti di Zoom Rooms (alla 7.1.0) e Zoom Workplace VDI Plugin (alla 6.6.14). Se sfruttate, potrebbero consentire a un utente malintenzionato di bypassare i meccanismi di autenticazione e ottenere privilegi elevati sui sistemi compromessi. Sono state associate ai seguenti codici CVE: CVE-2026-53409, CVE-2026-53411, CVE-2026-53412, CVE-2026-53410. L'alert è stato pubblicato il 14-07-2026.

Perché conta

Le organizzazioni che utilizzano i prodotti Zoom elencati sono a rischio di compromissione dei sistemi e di potenziali data breach. La possibilità di eludere l'autenticazione e di elevare i privilegi espone i dati personali e sensibili a violazioni, rendendo difficile garantire la confidenzialità, l'integrità e la disponibilità, principi fondamentali del GDPR e della ISO 27001.

Il mancato aggiornamento espone l'organizzazione a sanzioni per inadempienza alle normative sulla protezione dei dati, come il GDPR (Art. 32 sulla sicurezza del trattamento) e la Direttiva NIS2 (Art. 21 sulla gestione dei rischi di sicurezza), che richiedono misure tecniche e organizzative adeguate per la resilienza e la gestione degli incidenti. L'impatto sistemico classificato come 'Alto' dal CSIRT sottolinea l'urgenza dell'intervento per mantenere un adeguato livello di sicurezza.

Cosa fare

• Verificare immediatamente le versioni di Zoom Desktop Client, Zoom VDI Client, Zoom Meeting SDK, Zoom Clients, Zoom Rooms e Zoom Workplace VDI Plugin installate sui sistemi Windows.
• Aggiornare tutti i prodotti Zoom vulnerabili alle ultime versioni disponibili, seguendo le indicazioni fornite nei bollettini di sicurezza ufficiali di Zoom.
• Consultare regolarmente i bollettini di sicurezza del vendor e gli alert di ACN / CSIRT Italia per rimanere informati su nuove vulnerabilità.
• Implementare un processo di gestione delle patch e degli aggiornamenti robusto per tutti i software critici.

Cosa evitare

• Non ritardare l'applicazione degli aggiornamenti di sicurezza per i prodotti Zoom interessati.
• Continuare a utilizzare versioni obsolete dei prodotti Zoom elencati dopo la notifica delle vulnerabilità.
• Ignorare gli avvisi di sicurezza provenienti da ACN / CSIRT Italia o dal vendor.

Implicazioni pratiche

Per un'organizzazione, le vulnerabilità critiche in strumenti di comunicazione ampiamente utilizzati come Zoom possono avere conseguenze gravi. Un attacco riuscito potrebbe portare all'accesso non autorizzato a sessioni di meeting riservate, alla sottrazione di dati sensibili o personali, alla compromissione di account utente e alla diffusione di malware all'interno della rete aziendale. Ciò comporta non solo danni reputazionali e interruzioni operative, ma anche potenziali sanzioni per violazioni del GDPR e della NIS2.

Azioni da fare

• Controllare l'inventario dei software installati per identificare tutte le istanze dei prodotti Zoom vulnerabili.
• Pianificare e eseguire l'aggiornamento di tutti i client Zoom interessati sui dispositivi aziendali e personali (se utilizzati per lavoro).
• Informare gli utenti sulle misure da adottare e sull'importanza di mantenere aggiornato il software.
• Valutare l'efficacia delle procedure di gestione delle patch esistenti.

Errori da evitare

• Sottovalutare la gravità delle vulnerabilità, in particolare quelle classificate come critiche o alte.
• Affidarsi unicamente agli aggiornamenti automatici senza verifiche manuali.
• Non comunicare tempestivamente ai dipendenti la necessità di aggiornamenti.

Domande di self-assessment

• Quali versioni di Zoom sono attualmente in uso nella nostra organizzazione?
• Esistono sistemi che non hanno una politica di aggiornamento automatica o centralizzata per Zoom?
• Qual è il nostro processo per la gestione e l'applicazione tempestiva delle patch di sicurezza?
• Come verifichiamo che tutti i dispositivi aziendali, inclusi quelli personali usati per lavoro, siano aggiornati?
• Abbiamo un piano di risposta agli incidenti che tenga conto di compromissioni tramite vulnerabilità software?

Riferimenti

Normativa nazionale: GDPR art. 32 · Direttiva NIS2 art. 21 · ISO/IEC 27001