Qualquer pessoa compartilhando a tela em uma chamada do Zoom podia ter assumido o controle dos computadores de todos que assistiam, e qualquer espectador podia ter assumido o controle do apresentador.
A falha estava na ferramenta de anotação, o recurso que permite aos participantes desenhar e digitar em uma tela compartilhada, e não exigia nada da vítima além de estar na reunião. Sem clique, sem download, sem confirmação e nada na tela para mostrar que algo tinha acontecido.
As correções não são novas. As correções para o cliente foram enviadas em junho e julho, aproximadamente dois meses antes das falhas serem tornadas públicas, e nenhuma exploração foi relatada até a publicação. Nenhum dos três identificadores aparece no catálogo de Vulnerabilidades Conhecidas Exploradas da CISA.
As versões que corrigem as falhas:
- Zoom Workplace, todas as plataformas suportadas, antes das versões 7.1.5 e 7.0.6 em seus respectivos ramos
- Zoom Workplace VDI Client para Windows, antes das versões 7.0.11 e 6.6.16
- Zoom Rooms e Zoom Meeting SDK, todas as plataformas, antes da versão 7.1.0, e antes da 7.1.5 para a terceira falha
A pesquisa
A pesquisa veio da "A Security", uma startup israelense de segurança ofensiva que saiu do modo furtivo em junho com 37 milhões de dólares em financiamento. A empresa afirma ter passado da descoberta da falha a um exploit funcional em menos de um dia, usando menos de 20 prompts em modelos de IA publicamente disponíveis.
Ninguém fora da empresa pode verificar essa afirmação: o relatório não menciona nenhum modelo. O fornecedor também classifica os bugs de forma mais baixa do que a empresa, e credita um dos três à sua própria equipe interna.
Como a falha funciona
O Zoom não publicou detalhes técnicos, então as informações internas vêm da própria engenharia reversa da empresa. Um desenho não atravessa a rede como uma imagem. O cliente o transforma em um objeto estruturado e o envia como uma sequência de contagens seguida de dados, e o receptor confia nessas contagens para decidir quanto ler.
Uma delas preenche um buffer fixo de 128 bytes sem verificar se os dados cabem, e como é o último campo do objeto, uma contagem exagerada ultrapassa o final e sobrepõe o endereço de retorno.
O que faz um desenho malformado alcançar toda a sala é a falta de verificação de onde uma mensagem veio. Cada espectador mantém um canal para quem está compartilhando, e o compartilhador mantém um de volta que deve carregar confirmações.
Nos caminhos que os pesquisadores rastrearam, o despachante lê o número do tipo de mensagem da rede e o passa para o analisador correspondente sem perguntar qual assento o remetente ocupava. 0x10001 significa aqui está um objeto; 0x10002 significa que recebi o seu. Envie o primeiro para onde o segundo pertence, e o cliente da vítima reconstrói o objeto por completo.
As CVEs
O Zoom rastreia as falhas como CVE-2026-53413 (pontuação CVSS: 8,3), um overflow de buffer, e CVE-2026-53414 (pontuação CVSS: 6,5), um over-read de buffer, ambas cobertas por ZSB-26015 e ZSB-26016, além de CVE-2026-53415 (pontuação CVSS: 8,3), um use-after-free, em ZSB-26017.
A empresa classifica as três em 9,0 sob o CVSS 4.0, uma pontuação que não aparece em nenhum dos boletins. O Zoom emite seus próprios registros CVE, e o NIST (Instituto Nacional de Padrões e Tecnologia dos EUA) não reclassifica rotineiramente, então as classificações mais baixas provavelmente permanecerão. Os três vetores do fornecedor também marcam interação do usuário como necessária, o que contrasta com a caracterização de zero-clique.
Contas divergentes
As duas versões divergem mais sobre o over-read. A empresa diz ter recuperado memória de heap não inicializada do cliente de uma vítima contendo código ativo e ponteiros de vtable, o material necessário para contornar a randomização de endereços.
O comunicado diz que o mesmo bug pode permitir que um participante "realize uma negação de serviço", e classifica seu impacto de confidencialidade como nenhum. O crédito também se divide: dois boletins creditam Idan Levcovich da A Security, enquanto o que cobre o use-after-free credita o Zoom Offensive Security, a equipe interna por trás da falha de tomada de controle de conta classificada em 9.8 que a empresa corrigiu em julho.
O post da startup lista todas as três como suas, enquanto reconhece que o Zoom já sabia sobre a terceira e já a havia filtrado do lado do servidor antes do relatório chegar. Sua descrição do trabalho com IA também é mais confusa do que seu próprio resumo.
A descoberta aided por IA
A primeira abordagem, uma classificação automatizada de funções alcançáveis a partir da camada Java, produziu uma fila de 3.762 funções em 70 bibliotecas e perdeu completamente a biblioteca vulnerável, classificando-a em 45º lugar. Ela surgiu apenas quando rastrearam o cliente em execução através de uma chamada ao vivo, recurso por recurso. Levcovich escreve que a barreira para construir essa classe de exploit "desmoronou, e não vai voltar".
A divulgação ocorre um dia após a OpenAI dividir seu programa Daybreak e lançar o GPT-5.6-Cyber apenas para parceiros verificados, com o argumento de que essa capacidade precisa de controle. A startup diz que obteve seu resultado de modelos que qualquer pessoa pode usar. Pela própria medida da OpenAI, seu modelo público com restrições responde a 1,5% dos prompts avançados de segurança ofensiva, contra 95% do restrito.
