Cách kiểm tra và cập nhật Zoom Workplace trên Windows để vá lỗ hổng CVSS 9.6
Hướng dẫn kiểm tra phiên bản Zoom Workplace trên Windows, cập nhật lên 7.1.8 trở lên và xử lý khi máy công ty không có nút cập nhật, kèm giải thích mức độ CVSS 9.6.
Cách bài viết này được thực hiện: bài hướng dẫn, phân tích của Kết Nối Số, có tham khảo 3 nguồn (zoom.com, thehackernews.com, zoom.us), danh sách ở cuối bài. Cập nhật 14/11/2026.
Zoom vẫn là ứng dụng họp trực tuyến quen thuộc ở rất nhiều văn phòng, trường học và cả các buổi gặp gỡ gia đình tại Việt Nam. Chính vì phổ biến, mỗi lỗ hổng bảo mật trong Zoom đều đáng để bạn dành vài phút. Ngày 10/11/2026, Zoom công bố hai bản tin bảo mật mới cho ứng dụng Zoom Workplace trên Windows, trong đó một lỗi được chấm 9.6/10 điểm, thuộc nhóm nghiêm trọng nhất (Critical).
Tin tốt là cách tự bảo vệ rất đơn giản: kiểm tra phiên bản Zoom trên máy và cập nhật lên bản mới. Bài viết này giải thích hai lỗ hổng theo cách dễ hiểu, chỉ bạn cách xem máy mình có bị ảnh hưởng hay không, cách cập nhật đúng (kể cả với máy công ty do bộ phận IT quản lý) và vài thói quen giúp các buổi họp trực tuyến an toàn hơn.
Câu trả lời ngắn: Zoom vừa vá hai lỗ hổng nâng quyền trong Zoom Workplace cho Windows: CVE-2026-108186 (CVSS 9.6, Critical) ảnh hưởng các bản từ 7.1.0 đến trước 7.1.8, và CVE-2026-108187 (CVSS 8.1, High) ảnh hưởng mọi bản trước 7.1.5. Hãy cập nhật Zoom lên phiên bản 7.1.8 trở lên ngay hôm nay.
Tóm tắt nhanh
- Ngày 10/11/2026, Zoom công bố bản tin ZSB-26023 và ZSB-26024 cho ứng dụng Zoom Workplace trên Windows.
- CVE-2026-108186: lỗi kiểm tra dữ liệu đầu vào, CVSS 9.6 (Critical), ảnh hưởng bản 7.1.0 đến trước 7.1.8.
- CVE-2026-108187: lỗi xác thực nguồn gốc, CVSS 8.1 (High), ảnh hưởng mọi bản trước 7.1.5.
- Cả hai đều có thể cho phép người chưa xác thực nâng quyền qua mạng, nhưng cần nạn nhân thực hiện một thao tác.
- Zoom không nhắc tới việc lỗi đã bị khai thác. Cách xử lý: cập nhật lên 7.1.8 trở lên.
Nội dung chính:
- Hai lỗ hổng Zoom Workplace là gì?
- Điểm CVSS 9.6 nói gì với người dùng bình thường
- Ai bị ảnh hưởng, phiên bản nào cần cập nhật
- Cách kiểm tra phiên bản Zoom trên máy
- Cách cập nhật Zoom Workplace an toàn
- Máy công ty không có nút cập nhật thì sao
- Hướng dẫn cho văn phòng, doanh nghiệp nhỏ
- Hiểu lầm phổ biến
- Thói quen họp trực tuyến an toàn
- Câu hỏi thường gặp
- Kết luận
Hai lỗ hổng Zoom Workplace là gì?
Zoom Workplace là tên hiện tại của ứng dụng Zoom trên máy tính, gom họp video, chat nhóm, gọi điện và lịch làm việc vào một chỗ. Theo trang bản tin bảo mật chính thức của Zoom (Zoom Trust Center), ngày 10/11/2026 hãng công bố hai bản tin mới, cả hai chỉ dành cho Zoom Workplace for Windows.
Bản tin thứ nhất mang mã ZSB-26023, nói về lỗ hổng CVE-2026-108186. Zoom mô tả đây là lỗi “kiểm tra dữ liệu đầu vào không đúng” (Improper Input Validation): ứng dụng không kiểm tra kỹ một loại dữ liệu nó nhận vào, và kẽ hở đó có thể bị lợi dụng để một người chưa xác thực nâng quyền qua mạng. Lỗi được chấm 9.6 điểm CVSS, mức Critical, do chính đội kiểm thử tấn công nội bộ của Zoom (Zoom Offensive Security) phát hiện.
Bản tin thứ hai mang mã ZSB-26024, nói về CVE-2026-108187, một lỗi “xác thực nguồn gốc” (Origin Validation Error). Nói nôm na, ứng dụng không kiểm tra chặt việc một yêu cầu đến từ đâu, nên có thể tin nhầm một nguồn không đáng tin. Hậu quả cũng là nâng quyền, nhưng mức điểm thấp hơn: 8.1, xếp hạng High. Người báo lỗi được Zoom ghi nhận với tên “shmoul”.
Ở cả hai bản tin, lời khuyên của Zoom giống nhau và rất ngắn gọn: người dùng nên áp dụng bản cập nhật mới nhất tại trang tải chính thức zoom.us/download. Các trang tin bảo mật đưa tin ngày 11/11/2026 cũng lưu ý Zoom không đề cập tới việc hai lỗ hổng đã bị khai thác ngoài thực tế. Điều này có nghĩa là bạn chưa cần hoảng, nhưng cũng không nên chần chừ: thông tin về lỗ hổng đã công khai thì kẻ xấu cũng đọc được.
Điểm CVSS 9.6 nói gì với người dùng bình thường
CVSS là thang điểm 0 đến 10 mà giới bảo mật dùng để ước lượng mức nguy hiểm của một lỗ hổng. Con số 9.6 nghe rất đáng sợ, nhưng điều hữu ích hơn là đọc “vector” đi kèm, tức chuỗi ký hiệu giải thích vì sao lỗi được chấm điểm đó. Zoom công bố vector của CVE-2026-108186 là CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Dịch sang ngôn ngữ đời thường:
- AV:N (qua mạng): kẻ tấn công không cần chạm vào máy bạn, có thể thực hiện từ xa.
- PR:N (không cần quyền): người tấn công không cần có tài khoản trên máy hay trong Zoom.
- UI:R (cần người dùng tương tác): nạn nhân phải thực hiện một thao tác nào đó thì cuộc tấn công mới thành công. Đây là điểm “kéo” mức nguy hiểm xuống và cũng là chỗ bạn có thể tự phòng thủ bằng sự cảnh giác.
- S:C (thay đổi phạm vi): hậu quả có thể vượt ra ngoài chính ứng dụng Zoom.
- C:H/I:H/A:H: nếu bị khai thác, mức ảnh hưởng tới tính bí mật, toàn vẹn dữ liệu và khả năng hoạt động đều cao.
Với CVE-2026-108187, vector là AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N: cũng qua mạng, không cần quyền, cần người dùng tương tác, nhưng phạm vi không đổi (S:U) và không ảnh hưởng tới khả năng hoạt động (A:N), vì vậy điểm thấp hơn. “Nâng quyền” (escalation of privilege) là khi kẻ gian có được quyền cao hơn mức lẽ ra được phép, từ đó có thể làm nhiều việc hơn trên máy hoặc với dữ liệu của bạn. Zoom không công bố chi tiết kỹ thuật về cách khai thác, và bạn cũng không cần biết để tự bảo vệ: cập nhật là đủ.
Ai bị ảnh hưởng, phiên bản nào cần cập nhật
Hai bản tin chỉ liệt kê Zoom Workplace for Windows. Nếu bạn chỉ dùng Zoom trên MacBook, iPhone, iPad hay điện thoại Android, các thiết bị đó không nằm trong danh sách bị ảnh hưởng của hai bản tin này. Tuy vậy, cập nhật ứng dụng trên mọi thiết bị vẫn là thói quen tốt.
| Lỗ hổng | Bản tin | Mức độ | Phiên bản bị ảnh hưởng |
|---|---|---|---|
| CVE-2026-108186 | ZSB-26023 | Critical, CVSS 9.6 | Từ 7.1.0 đến trước 7.1.8 |
| CVE-2026-108187 | ZSB-26024 | High, CVSS 8.1 | Mọi bản trước 7.1.5 |
Ghép hai dải phiên bản lại, kết luận rất gọn: máy Windows chạy Zoom Workplace thấp hơn 7.1.8 đều dính ít nhất một trong hai lỗi. Các bản tin không ghi thẳng “bản vá là 7.1.8”, nhưng theo cách Zoom mô tả dải bị ảnh hưởng, 7.1.8 là phiên bản đầu tiên nằm ngoài cả hai dải. Vì vậy mốc an toàn bạn nên nhắm tới là 7.1.8 trở lên, hoặc đơn giản là bản mới nhất mà Zoom cung cấp.
Cách kiểm tra phiên bản Zoom trên máy
Bạn chỉ mất khoảng nửa phút để biết máy mình đang ở phiên bản nào:
1. Mở ứng dụng Zoom Workplace
Mở Zoom trên máy tính Windows và đăng nhập như bình thường.
2. Bấm vào ảnh đại diện
Ảnh đại diện (hoặc chữ cái tên bạn) nằm ở góc trên bên phải cửa sổ Zoom. Bấm vào đó để mở menu tài khoản.
3. Chọn About Zoom
Trong menu, chọn About Zoom (Giới thiệu về Zoom). Cửa sổ hiện ra có dòng Version cho biết số phiên bản đang chạy.
4. So với mốc 7.1.8
Nếu con số thấp hơn 7.1.8, ví dụ 7.1.0 hay 7.1.5, máy bạn cần cập nhật. Nếu từ 7.1.8 trở lên, bạn đã an toàn trước hai lỗ hổng này.
Cách cập nhật Zoom Workplace an toàn
Có hai cách chính thức để đưa Zoom lên bản mới. Cách nhanh nhất là dùng ngay tính năng cập nhật trong ứng dụng:
1. Cập nhật ngay trong Zoom
Bấm vào ảnh đại diện ở góc trên bên phải, chọn Check for Updates (Kiểm tra cập nhật). Nếu có bản mới, Zoom sẽ tự tải về và cài đặt. Sau khi xong, quay lại About Zoom để chắc chắn phiên bản đã từ 7.1.8 trở lên.
2. Tải bản mới từ trang chính thức
Nếu không thấy nút cập nhật hoặc quá trình cập nhật bị lỗi, hãy tự gõ địa chỉ zoom.us/download vào trình duyệt, tải bộ cài Zoom Workplace cho Windows và cài đè lên bản cũ. Đây cũng chính là trang mà Zoom dẫn trong cả hai bản tin bảo mật.
Một lưu ý quan trọng: mỗi khi một lỗ hổng phổ biến được đưa tin, kẻ lừa đảo thường tranh thủ gửi email, tin nhắn hay chạy quảng cáo “bản cập nhật Zoom khẩn cấp” kèm đường link tải. Đừng bấm vào những link đó. Bản cập nhật thật chỉ đến từ chính ứng dụng Zoom hoặc trang zoom.us/download mà bạn tự gõ. Kỹ thuật mạo danh này cũng giống các chiêu lừa đảo cuối năm nhắm vào doanh nghiệp mà Kết Nối Số từng phân tích.
Máy công ty không có nút cập nhật thì sao
Nhiều bạn mở menu ảnh đại diện mà không thấy mục Check for Updates. Đó thường không phải lỗi: khi bộ phận IT cài Zoom hàng loạt bằng gói cài đặt MSI (dành cho doanh nghiệp), chế độ tự cập nhật thường bị tắt và nút kiểm tra cập nhật bị ẩn đi, để IT chủ động quyết định khi nào đẩy bản mới cho cả công ty.
Trong trường hợp này, bạn không nên tự tìm cách cài đè, vì có thể xung đột với cấu hình quản lý của công ty. Hãy nhắn bộ phận IT hoặc người quản trị Zoom của đơn vị, nêu rõ phiên bản bạn đang thấy trong About Zoom và hai mã CVE-2026-108186, CVE-2026-108187 để họ ưu tiên xử lý.
Hướng dẫn cho văn phòng, doanh nghiệp nhỏ
Nếu bạn là người “kiêm nhiệm IT” ở một văn phòng vài chục máy, đây là cách xử lý gọn gàng:
1. Lập danh sách máy dùng Zoom
Ghi lại máy nào cài Zoom Workplace và phiên bản hiện tại. Ưu tiên các máy dùng chung như máy phòng họp, máy lễ tân, máy của kế toán và lãnh đạo, vì đây là nơi nhiều người thao tác và chứa nhiều dữ liệu nhạy cảm.
2. Đẩy bản 7.1.8 trở lên
Nếu đã có công cụ quản lý thiết bị, hãy triển khai bản Zoom mới nhất qua công cụ đó. Nếu không, có thể tải bộ cài từ zoom.us/download và cài đè trên từng máy.
3. Kiểm tra lại sau khi cài
Mở About Zoom trên từng máy để chắc chắn phiên bản đã đổi. Đây là bước hay bị bỏ qua nhất: cài xong nhưng máy chưa khởi động lại ứng dụng thì vẫn chạy bản cũ.
4. Đặt lịch rà soát định kỳ
Mỗi tháng dành một buổi rà phiên bản các ứng dụng hay dùng như Zoom, trình duyệt, bộ Office. Kết Nối Số cũng thường xuyên cập nhật các đợt vá lớn như Patch Tuesday tháng 11/2026 của Microsoft để bạn đối chiếu.
Hiểu lầm phổ biến
“Lỗi Zoom ảnh hưởng mọi thiết bị.” Không đúng. Hai bản tin ZSB-26023 và ZSB-26024 chỉ nêu Zoom Workplace for Windows. Điện thoại và máy Mac không nằm trong danh sách.
“Điểm 9.6 nghĩa là đã có người bị tấn công.” Điểm CVSS đo mức nguy hiểm tiềm năng, không phải bằng chứng đã bị khai thác. Zoom không đề cập việc hai lỗi bị khai thác ngoài thực tế.
“Phải gỡ Zoom mới an toàn.” Không cần. Zoom không đưa ra biện pháp tạm thời nào khác ngoài cập nhật. Lên bản 7.1.8 trở lên là đủ để xử lý hai lỗ hổng này.
“Đã cập nhật Windows thì Zoom cũng được vá.” Không. Zoom là ứng dụng riêng, có cơ chế cập nhật riêng. Windows Update không cập nhật Zoom.
Thói quen họp trực tuyến an toàn
Vì cả hai lỗ hổng đều cần nạn nhân thực hiện một thao tác, thói quen cảnh giác của bạn là lớp phòng thủ thứ hai sau bản vá. Năm thói quen dưới đây áp dụng được cho Zoom lẫn các ứng dụng họp khác:
- Bật và tôn trọng thông báo cập nhật: khi Zoom báo có bản mới, hãy cài ngay sau buổi họp thay vì bấm “để sau” mãi.
- Chỉ tải từ nguồn chính thức: trang zoom.us/download hoặc kho ứng dụng của hệ điều hành, không tải từ link trong email hay quảng cáo.
- Soi kỹ link mời họp: link mời Zoom thật thường thuộc tên miền zoom.us hoặc zoom.com. Tên miền na ná, thêm bớt ký tự là dấu hiệu đáng ngờ.
- Không mở tệp lạ gửi trong chat: nếu một “đối tác” gửi tệp bất ngờ, hãy hỏi lại họ qua kênh khác như điện thoại trước khi mở.
- Dùng tài khoản Windows thường cho việc hằng ngày: không dùng tài khoản quản trị để làm việc thông thường, nhờ đó hậu quả của mọi lỗi nâng quyền đều bị hạn chế hơn.
Câu hỏi thường gặp
Tôi dùng Zoom trên điện thoại, có cần làm gì không?
Hai bản tin mới chỉ nêu Zoom Workplace for Windows. Bạn vẫn nên bật tự cập nhật ứng dụng trên điện thoại để nhận các bản vá khác, nhưng không cần lo về hai lỗ hổng này.
Tôi chỉ tham gia họp bằng trình duyệt, không cài Zoom, có bị ảnh hưởng không?
Hai bản tin chỉ nói về ứng dụng Zoom Workplace cài trên Windows. Dù vậy, hãy giữ trình duyệt luôn ở bản mới, như bản cập nhật Chrome 157 vá lỗ hổng zero-day gần đây.
Phiên bản an toàn chính xác là bao nhiêu?
Theo dải phiên bản Zoom công bố, bản 7.1.8 là bản đầu tiên không còn nằm trong vùng bị ảnh hưởng của cả hai lỗi. Cập nhật lên bản mới nhất là lựa chọn chắc chắn nhất.
Lỗi đã bị hacker khai thác chưa?
Zoom không đề cập việc hai lỗi bị khai thác ngoài thực tế. Tuy vậy, khi thông tin đã công khai, càng cập nhật sớm càng tốt.
Máy công ty không có nút Check for Updates, tôi tự cài đè được không?
Nên hỏi bộ phận IT trước. Zoom cài bằng gói MSI thường do IT quản lý cập nhật; tự cài đè có thể xung đột với cấu hình chung.
Kết luận
Hai lỗ hổng CVE-2026-108186 và CVE-2026-108187 là lời nhắc rằng ứng dụng họp trực tuyến, thứ chúng ta mở mỗi ngày, cũng cần được chăm sóc như hệ điều hành. Tin tốt là cách xử lý chỉ mất vài phút: mở About Zoom xem phiên bản, cập nhật lên 7.1.8 trở lên bằng Check for Updates hoặc từ zoom.us/download, và với máy công ty thì báo ngay cho bộ phận IT.
Máy của bạn đang chạy Zoom phiên bản nào? Hãy chia sẻ ở phần bình luận và theo dõi Kết Nối Số tại ketnoiso.com.vn để nhận cảnh báo bảo mật kèm hướng dẫn tự bảo vệ dễ làm theo.
Nguồn tham khảo: Zoom Security Bulletin ZSB-26023; Zoom Security Bulletin ZSB-26024; The Hacker News – lỗ hổng nghiêm trọng trong Zoom Workplace; Trang tải Zoom chính thức.
