Una vulnerabilità critica di Zoom avrebbe potuto consentire a un partecipante malevolo di prendere il controllo del dispositivo di un altro utente durante una videochiamata. Il problema riguardava più piattaforme e poteva essere sfruttato senza clic, download o interazioni da parte della vittima. Zoom ha già distribuito gli aggiornamenti necessari, rendendo essenziale utilizzare una versione aggiornata dell’applicazione.
vulnerabilità zoom: possibile controllo remoto dei dispositivi
La falla interessava il sistema di annotazione di Zoom, utilizzato per disegnare e inserire testo durante la condivisione dello schermo. Dati appositamente modificati potevano provocare una corruzione della memoria nel client che li riceveva, arrivando a consentire l’esecuzione di codice da remoto.
Il rischio era particolarmente elevato perché l’attacco poteva avviarsi semplicemente con la presenza nella stessa riunione. Non erano necessari consensi, clic, file da scaricare o altre azioni dell’utente. In caso di sfruttamento, un aggressore avrebbe potuto sottrarre dati personali, attivare microfono e videocamera oppure installare altro malware senza essere scoperto.
difetto zero-click su windows, macos, linux, ios e android
La vulnerabilità si trovava nel componente proprietario dedicato alle annotazioni durante la condivisione dello schermo, identificato come libannotate.so. Si tratta di un elemento che interpreta automaticamente i dati ricevuti, mentre lo stesso codice sorgente viene utilizzato nelle applicazioni native Zoom Workplace.
Per questo motivo, l’esposizione riguardava i dispositivi con Windows, macOS, Linux, iOS e Android. La portata multipiattaforma, combinata con l’esecuzione zero-click, aumentava il potenziale impatto sugli utenti che utilizzavano client non aggiornati.
l’intelligenza artificiale ha accelerato la scoperta della falla
I ricercatori hanno individuato e sfruttato il problema con l’aiuto di modelli di intelligenza artificiale disponibili pubblicamente, il cui nome non è stato reso noto. Sono bastati meno di 20 prompt per identificare le falle e ottenere un exploit funzionante in meno di 24 ore.
Il caso mostra come l’AI possa ridurre sensibilmente il tempo e le risorse necessari per scoprire vulnerabilità nei software ampiamente utilizzati. La stessa tecnologia può essere impiegata anche dai difensori per individuare e risolvere più rapidamente i problemi di sicurezza.
aggiornamenti zoom disponibili per correggere il problema
Le vulnerabilità sono state segnalate a Zoom a giugno. L’azienda ha quindi introdotto correzioni lato client e lato server. I problemi sono registrati con i codici CVE-2026-53413, CVE-2026-53414 e CVE-2026-53415.
versioni interessate
Tra i prodotti coinvolti figurano le versioni precedenti agli aggiornamenti indicati per ciascun ramo:
- Zoom Workplace: versioni precedenti alla 7.1.5 e alla 7.0.6;
- Zoom Workplace VDI Client per Windows: versioni precedenti alla 7.0.11 e alla 6.6.16;
- Zoom Rooms: versioni precedenti alla 7.1.0;
- Zoom Meeting SDK: versioni precedenti alla 7.1.0.
come proteggere il dispositivo durante le riunioni zoom
Non sono indicazioni che impongano di interrompere le normali videochiamate. Il comportamento più importante consiste nell’aggiornare l’app Zoom prima della prossima riunione, soprattutto se il client non è stato aggiornato di recente. L’utilizzo di una versione corretta riduce il rischio associato alle vulnerabilità segnalate.
Lascia un commento