A plataforma de videoconferência Zoom registrou a descoberta de vulnerabilidades de segurança de alto impacto, apelidadas por pesquisadores de Zoomsday.
As falhas identificadas permitem que um participante mal-intencionado em uma reunião execute códigos arbitrários no dispositivo de outro usuário sem a necessidade de qualquer interação direta da vítima.
O incidente acendeu alertas na comunidade de segurança cibernética devido ao potencial de exploração em chamadas corporativas e reuniões públicas.
Os problemas afetam o módulo encarregado do processamento de dados compartilhados em tempo real, especificamente as ferramentas de desenho e anotação na tela. Segundo dados divulgados no relatório da Malwarebytes, a vulnerabilidade mais severa é rastreada sob o código CVE-2026-53413.
Ela permite que mensagens especialmente formatadas enviadas através do protocolo da plataforma causem a corrupção de memória nos clientes vulneráveis. Certamente, essa condição abre espaço para a instalação de artefatos maliciosos e controle não autorizado dos sistemas afetados.
Como funciona o vetor de ataque no recurso de anotações
O recurso de anotações do aplicativo utiliza um protocolo proprietário para transmitir desenhos, caixas de texto e marcações de um participante para os demais visualizadores. Quando um usuário insere uma anotação na tela, a aplicação constrói um objeto na memória, serializa esses dados em uma Unidade de Dados de Protocolo (PDU) e os envia através dos roteadores multimídia da empresa. O cliente receptor, por sua vez, desserializa o pacote para renderizar o conteúdo gráfico no monitor.
No entanto, a biblioteca responsável por esse procedimento, denominada libannotate.so, apresentava falhas estruturais de validação de dados fornecidos por terceiros.
A ausência de verificação rigorosa de limites (bounds check) permitia que um atacante enviasse uma carga útil com tamanho superior ao esperado pelos buffers do sistema. Durante a manipulação do bloco de formatação de texto CAnnoFormatBlock, por exemplo, dados maliciosos sobrescreviam áreas da memória do processo, resultando na execução remota de código (RCE).
O papel da inteligência artificial na descoberta de vulnerabilidades
Um dos aspectos mais relevantes do caso refere-se à metodologia empregada na identificação das falhas. A empresa de segurança A Security revelou que utilizou modelos de inteligência artificial generativa comercialmente disponíveis para realizar engenharia reversa e análise estática no código do aplicativo.
Com menos de 20 comandos sequenciais enviados aos modelos de linguagem, os pesquisadores conseguiram mapear os pontos de fragilidade e construir um exploit funcional em um intervalo inferior a 24 horas.
Essa facilidade de descoberta demonstra como ferramentas de IA aceleraram o processo de auditoria de código. Porém, essa mesma eficiência amplia os desafios defensivos, já que agentes cibernéticos podem utilizar técnicas semelhantes para mapear superfícies de ataque em softwares amplamente adotados pela indústria.
Plataformas afetadas e versões corrigidas
As vulnerabilidades do conjunto Zoomsday impactam múltiplos sistemas operacionais e edições do aplicativo, abrangendo ambientes corporativos e dispositivos móveis. A distribuição dos problemas inclui os seguintes identificadores e componentes:
- CVE-2026-53413: Estouro de buffer e corrupção de memória com potencial para execução remota de código sem clique.
- CVE-2026-53414: Leitura fora dos limites de memória (buffer overread), permitindo ataques de negação de serviço (DoS) que encerram abruptamente o cliente do participante.
- CVE-2026-53415: Condição de uso após liberação de memória (use-after-free), identificada no ecossistema de processamento de anotações.
A atualização do aplicativo abrange as versões do Zoom Workplace anteriores à 7.1.5 e 7.0.6, dependendo do canal de lançamento utilizado pela organização.
O cliente de infraestrutura virtual Zoom Workplace VDI Client para Windows teve atualizações disponibilizadas para as ramificações anteriores às versões 7.0.11 e 6.6.16. Da mesma forma, instâncias do Zoom Rooms e do kit de desenvolvimento Zoom Meeting SDK anteriores à versão 7.1.5 devem ser atualizadas.
Divergências na classificação de risco e mitigações aplicadas
Houve uma discrepância técnica na avaliação de severidade entre os pesquisadores de segurança e a fabricante do software.
Enquanto a equipe de investigação classificou a CVE-2026-53413 como de gravidade crítica em razão do caráter zero-click (sem necessidade de cliques ou downloads da vítima), a empresa desenvolvedora atribuiu a pontuação de alto risco com base na pontuação CVSS v3. A fabricante sustentou que o vetor exige a presença do atacante no mesmo ambiente de reunião da vítima.
No entanto, a equipe técnica da Malwarebytes ressalta que a presença em uma reunião corporativa ou aberta não representa uma barreira substancial para atores maliciosos.
A aplicação de mitigações no lado do servidor e a distribuição das correções para os clientes de software foram priorizadas para evitar a exploração em massa da falha antes da publicação dos detalhes técnicos.
Certamente caros leitores(a) realizar a atualização imediata de todos os endpoints afetados continua sendo o procedimento técnico indicado para restabelecer a integridade operacional dos sistemas.
