Zoom para Windows corrige una falla crítica de 9,6: qué versión la cierra y cuál conviene

Zoom publicó el 10 de noviembre de 2026 dos boletines de seguridad para Zoom Workplace para Windows, la app de escritorio con la que se entra a reuniones, se chatea y se llama. El primero, ZSB-26023, describe una falla crítica, con 9,6 sobre 10 en la escala CVSS (CVE-2026-108186), que afecta a las versiones desde la 7.1.0 y anteriores a la 7.1.8. El segundo, ZSB-26024, es una falla alta, de 8,1 (CVE-2026-108187), que alcanza a todas las versiones anteriores a la 7.1.5. En los dos casos Zoom dice lo mismo: un usuario sin autenticar podría conseguir una elevación de privilegios a través de la red (via network access, en el original).

Qué hacer hoy: abrí Zoom en tu PC y fijate el número de versión. Si dice 7.2.0 o algo más nuevo, ya estás fuera de estas dos fallas y también de las que Zoom publicó en octubre para la app de Windows; para Windows de 64 bits y equipos ARM, la página oficial de descarga ofrece hoy la 7.2.5. Si dice cualquier cosa por debajo, actualizá antes de la próxima reunión. Y si en tu oficina Zoom lo instaló el área de sistemas, puede que la opción de actualizar ni siquiera te aparezca: avisales a ellos.

La buena noticia, que no es poca: todo indica que el arreglo no es nuevo. Los boletines que Zoom publicó el 13 de octubre ya remitían a la 7.1.9 y a la 7.2.0, dos versiones posteriores a la 7.1.8, así que quien tiene Zoom al día no debería tener que hacer nada. La mala: «tener Zoom al día» es exactamente lo que muchos no tienen, porque la app se queda abierta semanas y la ventanita de «hay una actualización» se cierra con la misma velocidad con la que se ignora un grupo de WhatsApp.

Qué publicó Zoom, boletín por boletín

Los dos avisos están en el índice oficial de boletines de seguridad de Zoom, con fecha de publicación del 10 de noviembre de 2026 y revisión 1.0. Son textos cortos, como todos los de Zoom: un nombre, la gravedad, el vector CVSS, una frase de descripción y la lista de productos afectados.

Los dos boletines se limitan a Zoom Workplace para Windows. No mencionan la app para Mac, Linux, Android ni iOS, ni Zoom Rooms, ni el cliente para escritorios virtuales (VDI), algo que Zoom sí hizo en otros avisos de este año cuando el problema alcanzaba a más productos. Y ninguno de los dos dice que las fallas se estén aprovechando en ataques reales: The Hacker News, que cubrió los boletines el 11 de noviembre, lo remarca al señalar que Zoom no menciona que se estén explotando.

La recomendación de Zoom es la misma en los dos textos: «Los usuarios pueden ayudar a mantenerse seguros aplicando las últimas actualizaciones disponibles en zoom.us/download» (traducción de TCD).

Qué quiere decir «sin autenticar» y qué no dice el boletín

«Un usuario sin autenticar por la red» suena a que alguien, desde cualquier lugar, entra a tu PC sin que vos hagas nada. El propio boletín matiza eso, aunque hay que saber leerlo. El vector CVSS de las dos fallas trae UI:R, que en la escala quiere decir «requiere interacción del usuario»: para que el ataque funcione, la persona del otro lado tiene que hacer algo. Zoom no dice qué acción, y adivinarla sería inventar.

La diferencia entre las dos está en otra letra. La crítica trae S:C, «alcance cambiado»: en la escala significa que el daño puede ir más allá del componente vulnerable, y es parte de por qué llega a 9,6. La de 8,1 trae S:U, alcance sin cambio, y no afecta la disponibilidad del sistema según su vector. Las dos marcan impacto alto en confidencialidad e integridad: si alguien aprovecha cualquiera de las dos, puede ver y modificar cosas que no debería.

Lo que el boletín no trae es igual de importante. No hay explicación técnica, prueba de concepto ni cronología del reporte. Todos los boletines de Zoom que leímos para esta nota siguen ese formato: avisan con el arreglo ya disponible y no dan detalles que sirvan de receta. Por eso, y aunque nadie haya dicho que haya ataques en curso, el momento de actualizar es antes de que alguien publique esa receta, no después.

Cómo saber qué versión tenés y cómo actualizar

Si usás Zoom en tu PC personal, el camino corto es el que describe la guía de soporte de la Universidad de Oklahoma, que remite a la ayuda de Zoom: iniciá sesión en la app, hacé clic en tu foto de perfil arriba a la derecha y elegí la opción para buscar actualizaciones (con la app en inglés, Check for Updates). Si hay una versión más nueva, Zoom la descarga y la instala. Si preferís empezar de cero, bajá el instalador desde zoom.us/download, que es la dirección que da el propio boletín, e instalalo. Para Windows de 64 bits y para equipos con procesador ARM, esa página entregaba hoy la versión 7.2.5 (51704).

Ojo con un caso: para Windows de 32 bits, la misma página entrega hoy la 6.6.11, que por número queda por debajo de las versiones que corrigen estas fallas (y de la 7.0.0 del boletín de julio que mencionamos más abajo). Los boletines no aclaran qué pasa con esa versión, así que si tenés una PC con Windows de 32 bits, lo prudente es no darla por cubierta.

Si Zoom te lo instaló la empresa, puede que el botón no esté. La guía de soporte de la Universidad de Oklahoma lo explica sin vueltas: cuando la app se instala con el paquete MSI, la actualización automática queda desactivada por defecto y el botón de buscar actualizaciones desaparece. En ese caso, actualizar le toca al área de sistemas o al administrador de la cuenta de Zoom, y lo más útil que podés hacer es mandarles el número de versión que ves en tu equipo.

Si administrás las PC de una pyme, el trabajo es de inventario más que de urgencia: buscar qué equipos tienen Zoom Workplace para Windows por debajo de la 7.2.0 y empujar la actualización con la herramienta que ya usen. El paquete MSI para administradores está en la misma página de descarga. Conviene mirar también las máquinas que casi no se usan, como la PC de la sala de reuniones o la notebook que se presta, porque son las que se quedan con versiones de hace meses.

Por qué la 7.2.0 es la línea que importa

Las dos fallas nuevas se corrigen con la 7.1.5 y la 7.1.8, pero quedarse en esas versiones no alcanza. El 13 de octubre de 2026 Zoom publicó otros tres boletines que tocan la app para Windows y que se cierran recién con la 7.2.0 (o, para dos de ellos, con la 7.1.9 dentro de la rama 7.1):

• ZSB-26020 (CVE-2026-53420, alta, 8,0): un desbordamiento de búfer en una función de Zoom Phone, en todas las plataformas soportadas antes de la 7.2.0, reportado por Kasif Dekel, de Neo Security.
• ZSB-26021 (CVE-2026-108184, alta, 7,4): validación incorrecta de certificados en clientes de Zoom para Windows, desde la 7.0.0 y antes de la 7.2.0 o la 7.1.9 en su rama.
• ZSB-26022 (CVE-2026-108185, alta, 7,4): validación incorrecta de certificados en la función Mis notas, en Windows desde la 7.1.5 y antes de la 7.2.0 o la 7.1.9.

En otras palabras: una PC con la 7.1.8 está a salvo de las dos fallas de noviembre, pero sigue expuesta a las tres de octubre. Por eso la recomendación práctica no es «tener la 7.1.8» sino tener la última que ofrece Zoom.

Hay un dato más que da contexto. De los dieciséis boletines que Zoom publicó desde junio, del ZSB-26009 al ZSB-26024, solo dos llevan la etiqueta de crítico, y los dos son de Zoom Workplace para Windows: el de noviembre y el ZSB-26014 de julio (CVE-2026-53412, 9,8), que podía permitir tomar el control de una cuenta en versiones anteriores a la 7.0.0. Si una PC sigue con una versión anterior a la 7.0.0, arrastra también esa falla, que según su vector ni siquiera requiere interacción del usuario (UI:N).

Qué le cambia a cada uno

• Si usás Zoom en Windows: mirá la versión; la vara es la 7.2.0.
• Si usás Zoom en Mac, Linux o el celular: estos dos boletines no te alcanzan. Igual, algunos de los de octubre sí incluyen esas plataformas, así que actualizar tampoco te sobra.
• Si solo entrás a reuniones desde el navegador: los boletines hablan de la app de escritorio para Windows, no del cliente web.

Lo que todavía no se sabe

Zoom no explicó qué acción del usuario hace falta para aprovechar las fallas, qué privilegios se pueden obtener exactamente ni cuándo recibió los reportes. Tampoco dijo cuándo salieron la 7.1.5 y la 7.1.8, las versiones que las corrigen; sus boletines no lo informan. Lo que sí está claro es que, al 11 de noviembre, ni Zoom ni la cobertura que la cita hablan de ataques en curso. Si eso cambia, el boletín se actualiza con una nueva revisión y lo vamos a contar.

Fuentes

• Zoom, ZSB-26023, «Zoom Workplace for Windows – Improper Input Validation», 10 de noviembre de 2026.
• Zoom, ZSB-26024, «Zoom Workplace for Windows – Origin Validation Error», 10 de noviembre de 2026.
• Zoom, índice de boletines de seguridad, consultado el 11 de noviembre de 2026.
• Zoom, boletines ZSB-26020, ZSB-26021 y ZSB-26022 (13 de octubre de 2026) y ZSB-26014 (14 de julio de 2026).
• Zoom, página oficial de descarga, versión ofrecida para Windows consultada el 11 de noviembre de 2026.
• The Hacker News, «Critical Zoom Workplace Flaw Could Allow Unauthenticated Remote Privilege Escalation», de Ravie Lakshmanan, 11 de noviembre de 2026.
• Universidad de Oklahoma, IT, «Updating Zoom to the Latest Version», consultada el 11 de noviembre de 2026.
• Créditos de imagen: fotomontajes editoriales asistidos por IA con el logo de Zoom tomado de su sitio oficial.

¿Qué versión de Zoom tenías cuando la miraste? Contanos en los comentarios ⬇️
Visitá la tienda