CVE-2026-59568
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Wielokrotne podatności w dotkniętych wersjach Zscaler Client Connector umożliwiają zdalne wykonanie kodu, dając nieuwierzytelnionemu, nieuprzywilejowanemu użytkownikowi możliwość wykonania dowolnego kodu w kontekście ZCC.
Ocena ryzyka
Ryzyko obejmuje przejęcie kontroli nad klientem Zscaler przez nieautoryzowanego atakującego, co może prowadzić do naruszenia bezpieczeństwa endpointu, kradzieży danych lub wykorzystania klienta jako punktu wejścia do sieci korporacyjnej.
Rekomendacja
Zaleca się natychmiastową aktualizację Zscaler Client Connector do najnowszej dostępnej wersji, która zawiera poprawki dla tych podatności, oraz monitorowanie systemów pod kątem nietypowej aktywności.
Inne podatności w Zscaler Client Connector
Zobacz wszystkie- CVE-2026-59564Krytyczne
Istnieje problem z obejściem uwierzytelnienia w komunikacji między dotkniętymi wersjami Zscaler Client Connector a Portalem Zscaler Client Connector.
- CVE-2026-59570Wysokie
W podatnych wersjach Zscaler Client Connector wstępnie zainstalowana aplikacja równorzędna może zniszczyć tunel Zscaler, wymusić wylogowanie użytkownika i przełączać przechwytywanie pakietów.
- CVE-2026-59569Wysokie
Podatność na niewłaściwą walidację danych wejściowych w Zscaler Client Connector na Androidzie i ChromeOS pozwala atakującemu potencjalnie obejść mechanizmy kontroli Zscaler.
- CVE-2026-25687Wysokie
Warunek wyścigu w obsłudze tunelu ZPA w podatnych wersjach Zscaler Client Connector (ZCC) umożliwia uszkodzenie sterty, co prowadzi do odmowy usługi (awaria klienta) i potencjalnie do wykonania dowolnego kodu w kontekście procesu ZCC.
- CVE-2026-59567Wysokie
Wielokrotne podatności w Zscaler Client Connector umożliwiają lokalną eskalację uprawnień, dając nieuprzywilejowanemu użytkownikowi możliwość wykonania dowolnego kodu w kontekście uprzywilejowanym.
- CVE-2026-59566Wysokie
Lokalnie wykorzystywalny błąd przepełnienia bufora może spowodować lokalny atak typu denial-of-service na Zscaler Client Connector na Androidzie i ChromeOS.
- CVE-2026-59565Wysokie
Zdalnie wykorzystywalny błąd przepełnienia bufora może spowodować lokalny i kernelowy atak denial-of-service na Zscaler Client Connector na Windows.
- CVE-2026-22569Średnie
Nieprawidłowa konfiguracja startowa Zscaler Client Connector na Windows może w rzadkich przypadkach spowodować, że ograniczona ilość ruchu nie będzie inspekcjonowana.
Oryginalny opis (angielski, źródło NVD)
Multiple vulnerabilities on affected versions of Zscaler Client Connector allow remote code execution, giving an unauthenticated, unprivileged user the ability to execute arbitrary code in the ZCC context.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS