สรุปสั้น
บริษัท Zoom ออกประกาศความปลอดภัย ZSB-26022 เมื่อวันที่ 13 ตุลาคม 2569 แก้ช่องโหว่ CVE-2026-108185 ความรุนแรงระดับสูง คะแนน CVSS 3.1 อยู่ที่ 7.4 ต้นเหตุคือการตรวจสอบใบรับรอง (certificate validation) ที่ไม่ถูกต้องในฟีเจอร์ My Notes ของ Zoom Workplace ทำให้ผู้โจมตีเข้าถึงเครือข่ายโดยที่ไม่ต้องยืนยันตัวตน โดยอาจใช้ช่องโหว่นี้ทำให้ข้อมูลที่มีความอ่อนไหวรั่วไหลได้ ช่องโหว่กระทบไคลเอนต์ทั้ง 5 ระบบปฏิบัติการ คือ Windows, macOS, Linux, Android และ iOS
ทีม Zoom Offensive Security ของ Zoom เป็นผู้ค้นพบช่องโหว่นี้เอง ประกาศไม่มีตัวอย่างการโจมตี ไม่มีลำดับการโจมตีเชิงเทคนิค และไม่มีรายงานว่าถูกใช้โจมตีจริง ประกาศยังไม่ระบุว่าข้อมูลประเภทใดที่อาจรั่วไหล ปัญหานี้จำกัดอยู่ที่ฟีเจอร์ My Notes ไม่ใช่จุดอ่อนของช่องทางสื่อสารทั้งหมดของ Zoom ทางแก้คือติดตั้งเวอร์ชันที่แก้ไขแล้วตามสาขาเวอร์ชันของแต่ละแพลตฟอร์ม
รายละเอียดข่าว
เว็บไซต์ GBHackers รายงานเมื่อวันที่ 14 ตุลาคม 2569 ว่าประกาศ ZSB-26022 ของ Zoom ระบุช่วงเวอร์ชันที่ได้รับผลกระทบแยกตามแพลตฟอร์ม บน Windows เวอร์ชันที่ได้รับผลกระทบเริ่มตั้งแต่ 7.1.5 และรวมทุกเวอร์ชันก่อน 7.2.0 และ 7.1.9 ในสาขาของแต่ละเวอร์ชัน บน macOS และ Linux เวอร์ชันที่ได้รับผลกระทบเริ่มตั้งแต่ 7.0.5 จนถึงก่อนเวอร์ชันที่แก้ไขของแต่ละสาขาเช่นเดียวกัน
ส่วน Zoom Workplace บน Android และ iOS เวอร์ชันตั้งแต่ 7.0.5 จนถึงก่อน 7.2.0 ได้รับผลกระทบ โดยเวอร์ชัน 7.2.0 คือเวอร์ชันที่แก้ไขแล้วของทั้งสองแพลตฟอร์ม ประกาศไม่ได้ระบุ Zoom Rooms การเข้าใช้ผ่านเบราว์เซอร์ หรือผลิตภัณฑ์อื่นของ Zoom ว่าได้รับผลกระทบ
จุดที่ผู้ดูแลระบบต้องระวังคือ Zoom แยกขอบเขตการแก้ไขตามเลขสาขาของเวอร์ชัน ไม่ได้ใช้เลขเวอร์ชันเดียวสำหรับทุกเครื่อง ผู้ดูแลระบบจึงต้องจับคู่ไคลเอนต์ที่ติดตั้งอยู่กับเลขสาขาของตัวเองก่อน แล้วค่อยตรวจว่าอัปเดตถึงเวอร์ชันที่แก้แล้วหรือยัง ทั้งเครื่องเดสก์ท็อปและมือถือ
รายละเอียดช่องโหว่
CVE-2026-108185 มี CVSS vector เป็น CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N หมายความว่าโจมตีผ่านเครือข่ายได้ ต้องใช้ความซับซ้อนสูง ไม่ต้องมีสิทธิ์ใด ๆ และไม่ต้องให้ผู้ใช้กดหรือทำอะไร ผลกระทบต่อการรักษาความลับและความถูกต้องของข้อมูลอยู่ในระดับสูง แต่ไม่กระทบความพร้อมใช้งาน แม้ vector จะให้คะแนนด้านความถูกต้องของข้อมูลสูงด้วย แต่คำอธิบายของ Zoom ระบุผลลัพธ์ไว้เพียงการเปิดเผยข้อมูล ไม่ได้อธิบายสถานการณ์ที่ผู้โจมตีแก้ไขข้อมูลได้
การตรวจใบรับรองที่ผิดพลาดมักเปิดทางให้ผู้โจมตีที่อยู่ในตำแหน่งระหว่างไคลเอนต์กับเซิร์ฟเวอร์ (เช่น อยู่ในเครือข่าย Wi-Fi เดียวกัน) แสดงใบรับรองปลอมแล้วไคลเอนต์ยอมรับ ซึ่งสอดคล้องกับค่า AC:H ที่บอกว่าผู้โจมตีต้องจัดเงื่อนไขเครือข่ายบางอย่างก่อน อย่างไรก็ดี Zoom ไม่ได้ระบุว่าการตรวจใบรับรองขั้นตอนใดที่ล้มเหลว การเชื่อมต่อใดได้รับผลกระทบ หรือผู้โจมตีต้องจัดเงื่อนไขเครือข่ายแบบใด ประกาศไม่ได้อ้างว่าผู้โจมตีดักฟังการประชุมได้ทุกครั้ง ขโมยข้อมูลบัญชีได้ หรือยึดเครื่องได้ ข้อมูลเชิงเทคนิคจึงยังมีน้อย
ผลกระทบ
ผู้ที่ได้รับผลกระทบคือผู้ใช้ Zoom Workplace ที่ใช้ฟีเจอร์ My Notes บนเวอร์ชันที่ได้รับผลกระทบ ความเสี่ยงสูงขึ้นเมื่อผู้ใช้เชื่อมต่อผ่านเครือข่ายที่ไม่น่าไว้ใจ เช่น Wi-Fi สาธารณะ เพราะเป็นสภาพที่ผู้โจมตีมีโอกาสวางตัวอยู่กลางทางการเชื่อมต่อได้ง่าย My Notes เป็นพื้นที่จดบันทึกที่ผูกกับการประชุม หากข้อมูลจากส่วนนี้รั่วไหล อาจมีเนื้อหาการประชุมหรือข้อมูลภายในองค์กรปะปนอยู่
ความรุนแรงในทางปฏิบัติถูกจำกัดด้วยความซับซ้อนของการโจมตีที่สูง และการที่ยังไม่มีรายงานการโจมตีจริง แต่ Zoom เป็นแอปพลิเคชันที่ติดตั้งในเครื่องผู้ใช้จำนวนมาก ทั้งในองค์กรและบนมือถือส่วนตัวที่ใช้ทำงาน การอัปเดตที่ต้องแยกตามสาขาเวอร์ชันและ 5 แพลตฟอร์มจึงมักมีเครื่องตกหล่น
คำแนะนำ
- อัปเดต Zoom Workplace ทุกแพลตฟอร์มเป็นเวอร์ชันที่แก้ไขแล้ว: Android/iOS เป็น 7.2.0 ขึ้นไป · Windows/macOS/Linux เป็นเวอร์ชันที่แก้แล้วตามสาขาที่ใช้ (7.1.9 หรือ 7.2.0 ขึ้นไป ตามประกาศ ZSB-26022)
- ใช้ระบบจัดการอุปกรณ์ (MDM/ซอฟต์แวร์จัดการแพตช์) ตรวจรายการเวอร์ชัน Zoom ที่ติดตั้งอยู่จริงในองค์กร โดยเฉพาะเครื่องที่ผู้ใช้ปิดการอัปเดตอัตโนมัติ
- อย่าลืมมือถือส่วนตัวที่ใช้เข้าประชุมงาน ซึ่งมักไม่อยู่ในระบบจัดการแพตช์ขององค์กร
- ระหว่างรออัปเดต แนะนำให้ผู้ใช้หลีกเลี่ยงการใช้ My Notes ผ่าน Wi-Fi สาธารณะ หรือเชื่อมต่อผ่าน VPN ขององค์กรก่อน
- ติดตามประกาศ Zoom Security Bulletin เป็นประจำ เพราะ Zoom ออกแพตช์ไคลเอนต์ถี่และแยกตามแพลตฟอร์ม