Jesper Bengtson
Ett kritiskt säkerhetshål i Zoom för Windows låter angripare kapa konton helt utan lösenord.
Sårbarheten har fått högsta möjliga allvarlighetsgrad och drabbar alla som fortfarande kör äldre versioner av Zooms Windows-klient. Zoom uppmanar användare att uppdatera omedelbart.
Bristen har fått beteckningen CVE-2026-53412 och en CVSS-poäng på 9,8 av 10, vilket klassar den som kritisk. Enligt Zooms säkerhetsbulletin beror felet på bristfällig indatavalidering och kan låta en oautentiserad angripare ta över konton via nätverksåtkomst, utan att offret klickar på något och utan att lösenordet behöver läcka.
Bulletinen publicerades den 14 juli 2026 och reviderades dagen efter, då Zoom drog bort Meeting SDK för Windows från listan över drabbade produkter.
Så kontrollerar du om du är drabbad
Bristen finns i två Windows-produkter:
- Zoom Workplace för Windows i alla versioner före 7.0.0
- Zoom Workplace VDI Client för Windows i versioner före 7.0.10, 6.6.15 och 6.5.18
Om du använder Zoom på Mac, i webbläsaren eller på mobilen påverkas du inte av just denna brist. Du kontrollerar din version genom att öppna Zoom, klicka på profilbilden och välja ”Om Zoom” i menyn.
Uppdatera manuellt om appen inte redan gjort det
Zoom rullar normalt ut uppdateringar automatiskt, men det är ingen garanti för att din klient är patchad. Snabbaste vägen är att öppna Zoom, klicka på profilbilden och välja ”Sök efter uppdateringar”, eller hämta senaste versionen direkt från zoom.us/download.
Singapores cybersäkerhetsmyndighet uppmanar i sin rådgivning från den 16 juli användare och administratörer att uppdatera till senaste versionen omedelbart.
Vad angriparen faktiskt kan göra
En CVSS-poäng på 9,8 betyder i praktiken maximal risk. Enligt Tenables sårbarhetsdatabas kan bristen utnyttjas över nätverket, kräver låg attackkomplexitet, ingen autentisering och ingen användarinteraktion, och ger fullständig påverkan på konfidentialitet, integritet och tillgänglighet.
En lyckad attack kan alltså ge en främling åtkomst till chattar, möten och kontoinställningar, samt möjlighet att uppträda som den drabbade i samtal och meddelanden.
Ingen aktiv exploatering, än
Sårbarheten upptäcktes internt av Zoom Offensive Security, och det finns inga rapporter om att den utnyttjas i skarpa attacker. Men när fel av den här kalibern blir publika brukar det gå fort innan angripare försöker vända informationen till exploatkod.
