Qualquer pessoa que compartilhasse a tela em uma chamada no Zoom poderia assumir o controle dos computadores de todos os que estivessem assistindo, e qualquer pessoa que assistisse poderia assumir o controle do computador de quem apresentava.
A falha estava na ferramenta de anotação, o recurso que permite aos participantes desenhar e digitar sobre uma tela compartilhada, e não exigia nada da vítima além de estar na reunião. Nenhum clique, nenhum download, nenhum aviso e nenhum sinal na tela de que algo havia acontecido.
Os patches não são novos. As correções para o cliente foram distribuídas em junho e julho, cerca de dois meses antes de as falhas se tornarem públicas, e nenhum caso de exploração havia sido relatado até a publicação. Nenhum dos três identificadores aparece no catálogo Known Exploited Vulnerabilities da CISA.
As versões que corrigem o problema são:
Zoom Workplace, em todas as plataformas com suporte, anterior às versões 7.1.5 e 7.0.6, em seus respectivos ramos
Zoom Workplace VDI Client para Windows, anterior às versões 7.0.11 e 6.6.16
Zoom Rooms e Zoom Meeting SDK, em todas as plataformas, anterior à versão 7.1.0, e anterior à 7.1.5 para a terceira falha
A pesquisa veio da A Security, uma startup de segurança ofensiva fundada em Israel que saiu do modo stealth em junho com US$ 37 milhões em financiamento. A empresa afirma ter ido da descoberta da falha a um exploit funcional em menos de um dia, usando menos de 20 prompts em modelos de IA disponíveis publicamente.
Ninguém fora da empresa pode verificar essa afirmação, já que o relatório não cita qual modelo foi usado. A fornecedora também atribui às falhas uma gravidade menor do que a empresa, e credita uma das três à sua própria equipe interna.
O Zoom não divulgou detalhes técnicos, então a análise interna vem da engenharia reversa feita pela empresa. Um desenho não trafega pela rede como uma imagem. O cliente o transforma em um objeto estruturado e o envia como uma sequência de contagens seguida de dados, e o receptor confia nessas contagens para decidir quanto ler.
Uma delas preenche um buffer fixo de 128 bytes sem verificar se os dados cabem ali, e como esse é o último campo do objeto, uma contagem maior do que o esperado ultrapassa o fim do buffer e atinge o endereço de retorno.
O que faz um desenho malformado atingir toda a sala é a ausência de uma verificação sobre a origem da mensagem. Cada visualizador mantém um canal com quem está compartilhando a tela, e quem compartilha mantém outro de volta, destinado a receber confirmações.
Nos caminhos rastreados pelos pesquisadores, o despachante lê pela rede o número de tipo de uma mensagem e o entrega ao analisador correspondente sem verificar em qual posição o remetente estava. 0x10001 significa “aqui está um objeto”; 0x10002 significa “recebi o seu”. Envie o primeiro no lugar do segundo, e o cliente da vítima reconstrói o objeto por completo.
O Zoom acompanha as falhas como
CVE-2026-53413
, com pontuação CVSS de 8,3, uma sobrescrita de buffer, e
CVE-2026-53414
, com pontuação CVSS de 6,5, uma leitura além do buffer, ambas cobertas por ZSB-26015 e ZSB-26016, além de
CVE-2026-53415
, com pontuação CVSS de 8,3, uma use-after-free, no ZSB-26017.
A empresa atribui a todas as três a nota 9,0 no CVSS 4.0, um índice que não aparece em nenhum dos comunicados. O Zoom emite seus próprios registros de CVE, e o NIST não vem mais recalculando essas pontuações de forma rotineira, portanto os números mais baixos provavelmente vão permanecer. Os vetores divulgados pela fornecedora também indicam que a interação do usuário é necessária, o que destoa da descrição de exploração zero-click.
As duas versões do caso divergem principalmente na leitura além do buffer. A empresa diz ter recuperado memória não inicializada do heap de um cliente da vítima que continha código em execução e ponteiros de vtable, o tipo de material que um bypass de aleatorização de endereços precisa.
O comunicado afirma que a mesma falha pode permitir que um participante “cause uma negação de serviço”, e atribui impacto nulo à confidencialidade. O crédito também é dividido: dois comunicados citam Idan Levcovich, da A Security, enquanto o que trata da use-after-free credita o Zoom Offensive Security, a equipe interna por trás da falha de tomada de conta com nota 9,8 que a empresa corrigiu em julho.
A startup diz em sua publicação que as três falhas são de sua autoria, embora reconheça que o Zoom já conhecia a terceira e a havia filtrado no lado do servidor antes de o relatório chegar. Sua descrição do trabalho com IA também é mais confusa do que o próprio resumo.
A primeira etapa, uma classificação automatizada das funções acessíveis a partir da camada Java, gerou uma fila de 3.762 funções em 70 bibliotecas e não encontrou a biblioteca vulnerável, deixando-a na 45ª posição. Ela só apareceu quando os pesquisadores rastrearam o cliente em execução durante uma chamada ao vivo, recurso por recurso. Levcovich escreve que a barreira para construir essa classe de exploit “desabou e não vai voltar”.
A divulgação ocorre um dia depois de a OpenAI ter separado seu programa Daybreak e liberado o GPT-5.6-Cyber apenas para parceiros avaliados, sob o argumento de que essa capacidade precisa de controle. A startup afirma ter obtido seu resultado com modelos que qualquer pessoa pode usar. Pela própria medida da OpenAI, seu modelo público com proteções responde a 1,5% dos prompts ofensivos avançados, contra 95% do modelo restrito.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...