Celah Kritis Zoom Workplace di Windows Bisa Picu Eskalasi Hak Akses Jarak Jauh

Zoom merilis pembaruan keamanan untuk menambal dua celah di Zoom Workplace for Windows, salah satunya berkategori kritis dengan skor CVSS 9.6 yang memungkinkan penyerang tanpa autentikasi melakukan eskalasi hak akses lewat jaringan.

Kedua kerentanan tercatat sebagai CVE-2026-108186 dan CVE-2026-108187. Menurut laporan The Hacker News, Zoom belum menyebut adanya eksploitasi aktif di lapangan, tetapi pengguna diminta segera memasang tambalan terbaru.

Dua Celah yang Ditambal dan Skor Keparahannya

Zoom mengklasifikasikan kedua masalah sebagai kerentanan yang bisa dieksploitasi dari jarak jauh tanpa kredensial. Berikut rinciannya seperti dikutip dari pengumuman resmi perusahaan:

• CVE-2026-108186 (CVSS 9.6) — kerentanan validasi input yang tidak semestinya, memungkinkan pengguna tanpa autentikasi melakukan eskalasi hak akses melalui akses jaringan.
• CVE-2026-108187 (CVSS 8.1) — kerentanan validasi origin yang memungkinkan pengguna tanpa autentikasi melakukan eskalasi hak akses melalui akses jaringan.

Skor 9.6 menempatkan CVE-2026-108186 di ambang tertinggi kategori kritis. Artinya, dampak yang bisa ditimbulkan cukup serius bila berhasil dieksploitasi, terutama karena penyerang tidak memerlukan izin atau akses khusus untuk memulai serangan.

Adapun CVE-2026-108187 dengan skor 8.1 masuk kategori high. Meski lebih rendah, sifatnya tetap berbahaya karena jalur serangannya sama: lewat jaringan dan tanpa autentikasi.

Versi Zoom Workplace yang Terdampak

Cakupan versi yang terdampak berbeda untuk masing-masing celah. CVE-2026-108187 memengaruhi Zoom Workplace for Windows sebelum versi 7.1.5. Sementara CVE-2026-108186 berdampak pada versi mulai 7.1.0 hingga sebelum 7.1.8.

Perbedaan rentang versi ini penting bagi tim TI yang mengelola instalasi Zoom di lingkungan korporat. Sebagian perangkat mungkin sudah melewati ambang satu celah, tetapi belum tentu aman dari celah lainnya.

Karena itu, satu-satunya langkah yang dianjurkan adalah memperbarui ke versi terbaru yang sudah memuat perbaikan untuk kedua kerentanan sekaligus. Pengguna rumahan bisa memeriksa pembaruan lewat menu pengaturan aplikasi, sedangkan administrator perusahaan perlu mendorong pembaruan lewat mekanisme manajemen perangkat yang dipakai.

Pola Kerentanan Zoom Workplace yang Berulang

Ini bukan pertama kalinya Zoom Workplace for Windows diterpa isu serupa. Pada Juli 2026, platform konferensi video itu juga merilis perbaikan untuk celah validasi input yang tidak semestinya, CVE-2026-53412, dengan skor CVSS 9.8.

Celah Juli tersebut disebut bisa memungkinkan pengguna tanpa autentikasi mengambil kendali atas akun. Skornya bahkan sedikit lebih tinggi dari CVE-2026-108186 yang kini ditambal.

Kemiripan pola ini menunjukkan bahwa area validasi input dan validasi origin pada klien Windows menjadi titik rawan yang berulang. Bagi Zoom, persoalannya bukan sekadar menambal satu bug, melainkan memastikan proses pengembangan menutup celah sejenis sebelum dirilis.

Bagi pengguna, riwayat ini menjadi pengingat bahwa aplikasi rapat daring yang terpasang di komputer kerja tetap permukaan serangan yang perlu dipantau, sama seperti peramban atau perangkat lunak produktivitas lain.

Dampak bagi Perusahaan dan Pengguna Akhir

Eskalasi hak akses adalah jenis serangan yang berbahaya karena penyerang bisa naik dari posisi tanpa hak istimewa menjadi memiliki kendali lebih besar atas sistem. Pada perangkat kerja, dampaknya bisa merembet ke data rapat, dokumen yang dibagikan, hingga kredensial yang tersimpan.

Ancaman ini relevan terutama bagi organisasi yang membiarkan klien Zoom terpasang dalam waktu lama tanpa pembaruan otomatis. Di lingkungan seperti itu, satu perangkat yang belum ditambal bisa menjadi pintu masuk.

Zoom sendiri tidak menyebut adanya eksploitasi di dunia nyata. Namun ketiadaan laporan itu bukan alasan untuk menunda pembaruan, karena detail kerentanan biasanya mulai beredar setelah tambalan dirilis.

Untuk memantau perkembangan kerentanan lain, pengguna dan tim keamanan bisa merujuk basis data publik seperti National Vulnerability Database milik NIST yang mencatat setiap CVE beserta skor dan deskripsinya.

Langkah Selanjutnya: Segera Perbarui Klien Windows

Prioritas utama saat ini adalah memastikan Zoom Workplace for Windows diperbarui ke versi yang sudah memuat perbaikan. Pengguna yang masih memakai versi di bawah 7.1.8 untuk jalur CVE-2026-108186, atau di bawah 7.1.5 untuk CVE-2026-108187, berada dalam risiko.

Administrator disarankan memeriksa inventaris perangkat, mendorong pembaruan secara terpusat, dan memverifikasi versi yang terpasang. Langkah ini sederhana, tetapi menentukan selisih antara sistem yang terlindungi dan yang terbuka.

Zoom belum mengungkap rincian teknis lebih jauh soal bagaimana kedua celah bisa dipicu. Perusahaan biasanya menahan detail semacam itu sampai sebagian besar pengguna diperkirakan sudah menambal, agar tidak memberi petunjuk bagi penyerang.

Yang jelas, pengumuman ini menambah daftar pembaruan keamanan yang wajib ditindaklanjuti tim TI pada November 2026. Menunda pembaruan berarti membiarkan celah yang sudah diketahui tetap terbuka.

Analisis Redaksi

Skor CVSS 9.6 pada CVE-2026-108186 semestinya cukup untuk membuat tim TI bergerak cepat. Celah ini tidak menuntut kredensial, tidak menuntut akses khusus, dan bisa dipicu lewat jaringan. Kombinasi itu membuatnya masuk kategori yang paling sulit dibela, karena penyerang tidak perlu lebih dulu menembus lapisan autentikasi.

Yang lebih mengganggu adalah polanya. Juli lalu Zoom menambal celah validasi input dengan skor 9.8. Kini muncul lagi celah validasi input dengan skor 9.6. Dua kerentanan bernilai tinggi pada area yang sama dalam rentang beberapa bulan menunjukkan persoalan bukan insiden tunggal, melainkan kelemahan yang perlu ditangani di tingkat proses pengembangan, bukan hanya di tingkat tambalan.

Bagi pengguna, pesannya lugas: jangan menunggu laporan eksploitasi. Kerentanan yang sudah diumumkan dan ditambal justru menjadi sasaran empuk karena penyerang tahu persis versi mana yang belum diperbarui. Memeriksa versi Zoom hari ini lebih berguna daripada menunggu pengumuman berikutnya.