--- title: "Zoom Workplace für Windows: Kritische Lücke CVE-2026-108186, Update auf 7.1.8" date: 2026-11-12T02:18:31+01:00 modified: 2026-11-12T02:18:31+01:00 category: sicherheit type: news author: Marcel Schönfelder canonical: https://s-edv.com/news/zoom-workplace-windows-cve-2026-108186-cve-2026-108187-7-1-8 keywords: - Zoom - Zoom Workplace - CVE-2026-108186 - CVE-2026-108187 - Windows - Sicherheitsupdate - Videokonferenz reading_time: 3 ai_notice: "Mit KI erstellt – redaktionelle Prüfung ausstehend" --- # Zoom Workplace für Windows: Kritische Lücke CVE-2026-108186, Update auf 7.1.8 > Mit KI erstellt – redaktionelle Prüfung ausstehend ([KI-Transparenz](https://s-edv.com/ki-transparenz)) Zoom hat am 10. November 2026 zwei Sicherheitsbulletins für Zoom Workplace für Windows veröffentlicht. Die kritische Lücke CVE-2026-108186 (ZSB-26023) bewertet der Hersteller mit CVSS 9.6, die zweite, CVE-2026-108187 (ZSB-26024), mit 8.1. Beide erlauben laut Zoom einem nicht angemeldeten Angreifer über das Netzwerk eine Rechteausweitung. Behoben sind beide ab Version 7.1.8. Zoom nennt in beiden Bulletins ausschließlich Zoom Workplace für Windows. Clients für macOS, Linux, iOS und Android führt Zoom dort nicht auf. Von Angriffen auf die Lücken spricht Zoom nicht. Weil Zoom auf vielen Arbeitsplätzen läuft und die Bewertung kritisch ist, gehört das Update in den laufenden Patchzyklus dieser Woche und nicht erst in das nächste Wartungsfenster. ## Was ist passiert? Zoom beschreibt CVE-2026-108186 als fehlerhafte Eingabeprüfung („Improper Input Validation“) in Zoom Workplace für Windows. Betroffen sind die Versionen ab 7.1.0 und vor 7.1.8. Gemeldet hat die Lücke das hauseigene Team Zoom Offensive Security. CVE-2026-108187 ist ein Fehler bei der Prüfung der Herkunft („Origin Validation Error“) und betrifft alle Versionen vor 7.1.5. Als Melder nennt Zoom hier „shmoul“. Weitere technische Details veröffentlicht Zoom nicht. Der Hersteller schreibt auf seiner Bulletin-Seite ausdrücklich, dass er keine zusätzlichen Angaben zu einzelnen Lücken macht, und verweist auf die aktuelle Version im Downloadbereich. SecurityWeek fasst zusammen, dass Version 7.1.8 und neuer beide Fehler behebt und dass Zoom keine Ausnutzung erwähnt. ## Wer ist betroffen? Betroffen sind Windows-Rechner mit Zoom Workplace in einer Version vor 7.1.8. Für CVE-2026-108186 gilt das ab 7.1.0, ältere Installationen vor 7.1.5 haben zumindest CVE-2026-108187. Andere Plattformen, die Nutzung im Browser, Zoom Rooms und VDI-Plugins nennt Zoom in den beiden Bulletins nicht. ## Wie kritisch ist das? Der CVSS-Vektor für CVE-2026-108186 lautet AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Ein Angriff ist also über das Netzwerk möglich, braucht keine Anmeldung, setzt aber eine Handlung des Nutzers voraus. Der geänderte Geltungsbereich (S:C) zeigt, dass sich die Folgen über die Zoom-Anwendung hinaus erstrecken können. Bei CVE-2026-108187 bleibt der Geltungsbereich unverändert, die Auswirkung auf die Verfügbarkeit fehlt. Zoom spricht von Rechteausweitung, nicht von Codeausführung aus der Ferne. Wie ein Angriff konkret aussieht, etwa über einen präparierten Link oder eine Besprechungseinladung, sagt der Hersteller nicht. Die nötige Nutzerinteraktion senkt das Risiko etwas. Wegen der hohen Bewertung und der großen Verbreitung des Clients sollte das Update trotzdem zügig verteilt werden. ## Was sollten Admins jetzt tun? - Inventar: Installierte Zoom-Versionen auf allen Windows-Rechnern erfassen, etwa über Softwareinventar, Intune oder einen Paketmanager. - Auf 7.1.8 oder neuer aktualisieren. Wer Zoom zentral verteilt, sollte das Paket in der Softwareverteilung austauschen, damit Neuinstallationen nicht wieder eine alte Version erhalten. - Prüfen, ob automatische Updates im Client erlaubt sind. Sind sie per Richtlinie abgeschaltet, bleibt die Lücke offen, bis die IT das Update verteilt. - Terminalserver und gemeinsam genutzte Rechner zuerst angehen, weil dort mehrere Nutzer denselben Client verwenden. - Nutzer anweisen, unerwartete Zoom-Links und Einladungen von unbekannten Absendern nicht zu öffnen, solange nicht alle Geräte aktualisiert sind. ## Einordnung für Unternehmen Bereits im Juli hatte Zoom eine kritisch bewertete Lücke in Zoom Workplace für Windows geschlossen (ZSB-26014). Der Videokonferenz-Client gehört damit wie Browser und Office in die Liste der Anwendungen, deren Patchstand regelmäßig kontrolliert wird. Unternehmen, die Updates den Nutzern überlassen, haben keinen Überblick, ob die kritische Version noch im Einsatz ist. Ein Blick in das Softwareinventar klärt das schneller als jede Rundmail. ## Passende Anleitungen auf S-EDV - [Intune: Windows-Geräte per Autopilot ausrollen](https://s-edv.com/anleitungen/intune-windows-autopilot-geraete-ausrollen) - [Jitsi Meet mit Docker installieren: Browser-Videokonferenz selbst hosten (DSGVO-konform)](https://s-edv.com/anleitungen/jitsi-meet-docker-videokonferenz) ## Quellen - [Zoom: Sicherheitsbulletin ZSB-26023 zu CVE-2026-108186](https://www.zoom.com/en/trust/security-bulletin/ZSB-26023/) - [Zoom: Sicherheitsbulletin ZSB-26024 zu CVE-2026-108187](https://www.zoom.com/en/trust/security-bulletin/ZSB-26024/) - [SecurityWeek: Sicherheitsupdates von Asus und Zoom](https://www.securityweek.com/asus-zoom-release-security-patches/)