Alessandro FerrariIl 12 novembre 2026 alle 14:14 l'Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato l'alert AL06/261112/CSIRT-ITA su due vulnerabilità di Zoom Workplace per Windows. Le falle riguardano tutte le versioni precedenti alla 7.1.8, una è classificata come critica e l'altra come alta. La correzione è già disponibile: basta installare la 7.1.8 o una versione successiva.
Che cosa dice l'alert dell'ACN
Il bollettino del CSIRT Italia identifica le due falle con i codici CVE-2026-108187 e CVE-2026-108186. Si tratta di vulnerabilità di tipo elevazione dei privilegi (Elevation of Privilege). Secondo l'ACN, un attaccante remoto e non autenticato potrebbe ottenere privilegi elevati sui sistemi interessati. L'agenzia valuta l'impatto sistemico come "alto", con un punteggio di 66,15.
Il testo non precisa quale dei due codici corrisponda alla gravità critica e quale a quella alta, quindi conviene trattarle entrambe come urgenti. La tabella dell'ACN non segnala codice dimostrativo pubblico né sfruttamento attivo al momento della pubblicazione. Questo dato può cambiare nei giorni successivi, perché di solito l'interesse degli attaccanti cresce dopo la diffusione di un alert.
I riferimenti del produttore sono i bollettini di sicurezza Zoom ZSB-26024 e ZSB-26023, indicati dall'ACN come fonte per le istruzioni di aggiornamento.
Domanda: devo preoccuparmi se uso Zoom solo per le riunioni?
La risposta dipende da due condizioni. Primo: il computer usa Windows? L'alert cita il client Zoom Workplace per Windows, quindi chi usa l'app su altri sistemi non rientra nell'elenco dei prodotti indicati dall'ACN. Secondo: la versione installata è precedente alla 7.1.8? Se sì, il computer è esposto a entrambe le falle.
L'elevazione dei privilegi significa che un programma, o un attaccante che lo controlla, ottiene più permessi di quelli previsti. Su un computer di lavoro questo può tradursi nell'accesso a cartelle, credenziali salvate o strumenti di amministrazione che l'utente normale non dovrebbe toccare. Per questo anche un uso occasionale di Zoom conta: la superficie di attacco è il programma installato, non la frequenza con cui lo si apre.
Per controllare la versione, nell'app si apre il menu del profilo e si sceglie la voce di verifica degli aggiornamenti. Se il numero è inferiore a 7.1.8, l'aggiornamento va installato subito. Molte organizzazioni, però, bloccano gli aggiornamenti automatici e li distribuiscono con strumenti centralizzati: in quel caso la richiesta va fatta a chi gestisce i computer.
Perché un alert su un software di videoconferenza riguarda tutti
Zoom è installato sui computer di studi professionali, scuole, aziende e uffici pubblici. Un'applicazione di questo tipo rimane spesso aperta in background per ore e viene avviata da link ricevuti per email o calendario. Questo la rende un obiettivo interessante e un software che l'utente tende a trascurare nelle verifiche di sicurezza.
L'ACN ha già segnalato aggiornamenti simili per altri prodotti molto diffusi. Sul tema degli avvisi del CSIRT si può leggere anche l'analisi di 83 vulnerabilità corrette in Chrome, dove il meccanismo è lo stesso: un alert pubblico, una versione corretta e il rischio per chi rimanda l'installazione. Anche gli attacchi agli account personali seguono una logica vicina, come mostra il caso di Libero Mail e la protezione dell'account.
Caso pratico: uno studio con 12 computer
Prendiamo uno studio di commercialisti con 12 computer Windows, tutti con Zoom Workplace installato per le riunioni con i clienti. L'ACN pubblica l'alert il 12 novembre 2026. Il responsabile verifica le versioni e scopre che 9 computer hanno già aggiornato in automatico alla 7.1.8, mentre 3 sono rimasti su una versione precedente perché usati di rado.
Se nessuno controlla, il 25% del parco macchine (3 su 12) resta esposto a due falle che l'ACN descrive come sfruttabili da un attaccante remoto non autenticato. Se invece lo studio aggiorna quei 3 computer entro la giornata, l'esposizione residua sul client Zoom scende a zero.
C'è un secondo aspetto. Su quei 3 computer si trovano le dichiarazioni dei redditi, i documenti di identità e le credenziali di accesso ai portali fiscali dei clienti. Se un attaccante ottenesse privilegi elevati su uno di essi, lo studio dovrebbe valutare se è avvenuta una violazione di dati personali. Il GDPR prevede la notifica al Garante entro 72 ore dalla scoperta, quando la violazione presenta un rischio per gli interessati. Un'ora persa nel controllo delle versioni può diventare un problema di conformità, non solo tecnico.
Se i computer sono gestiti da un consulente esterno, la domanda giusta è: chi ha la responsabilità di installare gli aggiornamenti, e entro quanto tempo dall'alert? Se il contratto non lo dice, il vuoto va colmato prima del prossimo avviso.
Come si riconosce un aggiornamento affidabile
Quando esce un alert, aumentano anche le email false che invitano a "scaricare subito la patch". Il canale corretto è sempre lo stesso: l'aggiornamento integrato nell'app o il sito ufficiale di Zoom. Un messaggio che arriva con un allegato, con un link abbreviato o con un mittente sconosciuto va ignorato, anche se cita il numero 7.1.8 o i codici CVE reali.
Nelle aziende conviene stabilire in anticipo chi comunica agli altri dipendenti la necessità di aggiornare e con quale canale. Se l'avviso interno arriva dallo stesso indirizzo ogni volta, ai colleghi è più facile riconoscere un falso. Una regola semplice, scritta in una riga nella procedura interna, evita molte esitazioni nel momento in cui serve agire.
Che cosa può fare un esperto informatico
Un consulente informatico lavora su tre punti che l'utente singolo difficilmente copre da solo.
Il primo è l'inventario del software. Sapere quali applicazioni e quali versioni sono installate su ogni computer permette di rispondere a un alert in minuti invece che in giorni. Senza inventario, l'unico modo di scoprire una versione vecchia è aprire il computer uno per uno.
Il secondo è la gestione degli aggiornamenti. Un'attività con più di cinque o sei postazioni trae vantaggio da una distribuzione centralizzata, con test su una macchina pilota e installazione generale entro un termine stabilito, per esempio 48 ore per le falle critiche.
Il terzo è la verifica dopo l'aggiornamento. Installare la 7.1.8 chiude le due vulnerabilità, ma non dice se qualcuno le ha sfruttate prima. Un controllo dei registri di sistema e degli accessi recenti può escludere o confermare anomalie, soprattutto su computer che sono rimasti esposti per più giorni.
Per le aziende soggette alla direttiva NIS2, la tempestività degli aggiornamenti rientra tra le misure di gestione del rischio. Un consulente può aiutare a documentare le scelte, cosa che torna utile in caso di controllo. Per i dettagli normativi sul proprio settore conviene rivolgersi a un professionista, perché gli obblighi variano in base alla dimensione e all'attività dell'organizzazione.
Che cosa fare oggi
Una sequenza pratica, in ordine, per chi usa Zoom Workplace su Windows:
- Aprire Zoom e controllare il numero di versione. Se è inferiore alla 7.1.8, passare al punto 2.
- Installare l'aggiornamento dall'app oppure scaricare il programma dal sito ufficiale di Zoom, mai da link ricevuti per email.
- Riavviare l'applicazione e confermare che la versione mostrata sia 7.1.8 o successiva.
- Nelle organizzazioni, chiedere a chi gestisce i computer di verificare tutte le postazioni e di annotare la data di aggiornamento.
- Consultare i bollettini ZSB-26024 e ZSB-26023 sul sito di Zoom per i dettagli tecnici del produttore.
Chi gestisce più computer, o ha dubbi sul controllo del il controllo delle versioni installate, può rivolgersi a un esperto di informatica su Expert Zoom per una verifica del parco macchine e per impostare una procedura di aggiornamento ripetibile.
Fonte ufficiale: alert ACN sulle vulnerabilità nei prodotti Zoom, pubblicato il 12 novembre 2026.
