Zoom e GitLab corrigem falhas críticas de RCE, DoS e bypass de 2FA

A Zoom e o GitLab divulgaram atualizações de segurança para corrigir múltiplas vulnerabilidades que podem resultar em execução remota de código (RCE), negação de serviço (DoS) e até bypass de autenticação multifator (2FA). As falhas afetam componentes amplamente utilizados em ambientes corporativos, elevando o nível de risco para organizações que ainda não aplicaram os patches.

O caso mais grave envolve os Zoom Node Multimedia Routers (MMRs), impactados pela vulnerabilidade CVE-2026-22844, com pontuação CVSS de 9,9. A falha, classificada como injeção de comandos, pode permitir que um simples participante de reunião execute código remotamente no MMR por meio de acesso à rede. O problema foi identificado internamente pela equipe de Offensive Security da Zoom e afeta versões anteriores à 5.2.1716.0 dos módulos MMR utilizados em implantações Zoom Node Meetings Hybrid e Meeting Connector. Apesar da gravidade, não há evidências de exploração ativa até o momento, mas a empresa recomenda atualização imediata para mitigar riscos.

Paralelamente, o GitLab lançou correções para diversas vulnerabilidades de alta severidade em suas edições Community Edition (CE) e Enterprise Edition (EE). Entre elas, destacam-se duas falhas (CVE-2025-13927 e CVE-2025-13928, ambas com CVSS 7,5) que permitem a qualquer usuário não autenticado causar DoS por meio de requisições especialmente manipuladas. Outro ponto crítico é a CVE-2026-0723 (CVSS 7,4), que possibilita o bypass do 2FA caso o invasor possua conhecimento prévio do identificador de credencial da vítima, comprometendo um dos principais mecanismos de proteção de contas.

Além dessas, o GitLab também corrigiu vulnerabilidades de severidade média (CVE-2025-13335 e CVE-2026-1102) que podem ser exploradas para causar DoS a partir da criação de documentos Wiki malformados. A recomendação é que administradores atualizem imediatamente para as versões corrigidas — 18.6.4, 18.7.2 ou 18.8.2, conforme o branch utilizado — reduzindo o risco de indisponibilidade e comprometimento de contas.