زووم وزيروكس تصدران تحديثات أمنية حرجة لمعالجة ثغرات تصعيد الصلاحيات وتنفيذ التعليمات عن بُعد

في خطوة جديدة لتعزيز الحماية الرقمية، أصدرت شركتا Zoom وXerox تحديثات أمنية عاجلة لإصلاح ثغرات خطيرة في منتجاتها قد تسمح للمهاجمين بتصعيد الصلاحيات أو تنفيذ تعليمات برمجية عن بُعد.

ثغرة خطيرة في Zoom لأنظمة ويندوز

أعلنت شركة Zoom عن معالجة ثغرة خطيرة في عملاء Zoom المخصصين لأنظمة ويندوز، تم تتبعها تحت الرمز CVE-2025-49457 وحصلت على درجة خطورة 9.6 ضمن مقياس CVSS.
تعود المشكلة إلى خطأ في “مسار بحث غير موثوق”، ما قد يمكّن مستخدمًا غير مصادق من استغلالها عبر الشبكة لتنفيذ هجوم تصعيد صلاحيات.
ووفقًا لنشرة الأمان التي أصدرتها الشركة، فإن الثغرة تؤثر على:

• Zoom Workplace for Windows قبل الإصدار 6.3.10

• Zoom Workplace VDI for Windows قبل الإصدار 6.3.10 (باستثناء 6.1.16 و6.2.12)

• Zoom Rooms for Windows قبل الإصدار 6.3.10

• Zoom Rooms Controller for Windows قبل الإصدار 6.3.10

• Zoom Meeting SDK for Windows قبل الإصدار 6.3.10

ثغرات متعددة في Xerox FreeFlow Core

في المقابل، عالجت Xerox عدة ثغرات في برنامج FreeFlow Core، أخطرها قد تؤدي إلى تنفيذ تعليمات برمجية عن بُعد. التحديث الأمني المتاح في الإصدار 8.0.4 يشمل إصلاحات للثغرات التالية:

• CVE-2025-8355 (درجة 7.5): ثغرة XXE تسمح بتنفيذ هجمات SSRF بسبب ثغرة في آلية معالجة رسائل JMF الخاصة بإدارة مهام الطباعة.

• CVE-2025-8356 (درجة 9.8): ثغرة Path Traversal يمكن استغلالها عبر أوامر JMF المرتبطة برفع ومعالجة الملفات، ما يتيح للمهاجمين رفع ملفات ضارة ووضعها في مسارات حساسة.

خطورة الاستغلال المحتمل

وفقًا لشركة Horizon3.ai للأمن السيبراني، فإن هذه الثغرات سهلة الاستغلال، وإذا تم استغلالها بنجاح، فقد تسمح للمهاجمين بتنفيذ أوامر عشوائية على النظام المستهدف، وسرقة بيانات حساسة، بل وحتى التوسع داخل بيئة الشركات لتنفيذ هجمات أوسع.
وأشار الباحث الأمني جيمي سيبري إلى أن استغلال ثغرة CVE-2025-8356 قد يتيح للمهاجمين إسقاط Web Shell عبر طلب HTTP مصمم خصيصًا، واستخدام بوابات الويب الأساسية لتشغيل الحمولة الخبيثة.