كشفت شركة Zoom عن ثغرة أمنية خطيرة في تطبيق Zoom Workplace VDI Client لأنظمة Windows قد تتيح للمهاجمين رفع مستوى صلاحياتهم داخل الأنظمة المتأثرة.
وصفت الثغرة، التي تحمل الرمز CVE-2025-64740، بأنها عالية الخطورة، وحصلت على تقييم 7.5 وفق مقياس CVSS، بحسب النشرة الأمنية ZSB-25042 الصادرة عن الشركة.
وتكمن المشكلة في سوء التحقق من التواقيع التشفيرية داخل برنامج التثبيت الخاص بتطبيق Zoom Workplace VDI Client، ما قد يسمح للمهاجمين الذين يملكون صلاحية دخول محلية إلى النظام باستغلال الخلل لتصعيد الامتيازات.
مخاطر الوصول المرفوع والصلاحيات الإدارية
في حال استغلال الثغرة بنجاح، يمكن للمهاجمين الحصول على صلاحيات أعلى تمكنهم من تنفيذ أوامر غير مصرح بها أو الوصول إلى بيانات حساسة أو حتى التأثير على سلامة النظام.
تشمل الإصدارات المتأثرة من التطبيق جميع نسخ Zoom Workplace VDI Client for Windows قبل الإصدارات 6.3.14 و6.4.12 و6.5.10 ضمن مساراتها المختلفة.
ورغم أن استغلال الثغرة يتطلب وصولاً محلياً وتفاعلاً من المستخدم، فإن التأثير المحتمل يبقى كبيراً، إذ تشير بيانات التقييم إلى إمكانية المساس بسرية النظام وسلامته وتوافره.
تهديد خاص بالبيئات المؤسسية
يعد هذا النوع من الثغرات مصدر قلق متزايد في البيئات المؤسسية التي تعتمد على Zoom في أعمالها اليومية، خصوصاً مع انتشار البنية التحتية لسطح المكتب الافتراضي (VDI). فالمهاجمون الذين يمتلكون صلاحيات محدودة قد يستغلون الخلل للحصول على حقوق إدارية، وتجاوز أنظمة الحماية، والتنقل داخل الشبكة لاستهداف موارد إضافية.
تؤكد الشركة أن السبب الجوهري للثغرة هو فشل عملية التحقق من سلامة الملفات المثبتة أثناء التثبيت، ما يفتح المجال أمام المهاجمين للتلاعب بعملية التثبيت وحقن تعليمات خبيثة بصلاحيات مرتفعة.
وقد أصدرت Zoom تحديثات أمنية تعالج الخلل، ودعت جميع المستخدمين والمؤسسات إلى تحديث تطبيق Zoom Workplace VDI Client for Windows فوراً عبر موقعها الرسمي zoom.us/download.
كما أوصت مديري الأنظمة بالتحقق من أن جميع الأجهزة في بيئة العمل قد جرى تحديثها إلى الإصدارات 6.3.14 أو 6.4.12 أو 6.5.10 أو الأحدث، لضمان إغلاق الثغرة بشكل كامل.
وتعيد هذه الحادثة التأكيد على أهمية التحديث المستمر للبرامج، خصوصاً لتلك المستخدمة على نطاق واسع في التواصل المؤسسي والعمل عن بُعد، حيث يمثل أي خلل غير مصحح نقطة دخول محتملة لهجمات تصعيد الصلاحيات والاختراق الداخلي.
