Vulnerabilidade Crítica no Zoom Permitiria Sequestro de Sessões Através de Anotações Maliciosas

Três vulnerabilidades críticas foram descobertas na funcionalidade de anotações do Zoom, permitindo o sequestro de sessões de usuários. A principal falha, CVE-2026-53413, é um buffer overflow que permite a um atacante enviar dados de desenho malformados. O cliente do Zoom confia nas contagens de dados recebidas, e um count excessivo sobrescreve o endereço de retorno na memória, permitindo execução de código. As outras duas falhas, CVE-2026-53414 (buffer over-read) e CVE-2026-53415 (use-after-free), complementam o cenário de exploração.

A exploração das vulnerabilidades era zero-click: o atacante enviava uma mensagem maliciosa que o cliente da vítima processava sem qualquer interação. Isso permitia a tomada do controle do dispositivo da vítima, ou o acesso a dados sensíveis, como memória heap não inicializada. A ausência de uma validação de origem da mensagem permitia que um participante enviasse um objeto malicioso para toda a reunião, em vez de apenas para o compartilhador de tela.

A cobertura anterior do CEVIU News, em 12 de agosto de 2026, já havia reportado sobre a correção de uma falha crítica no Zoom, apelidada de 'Zoomsday', referindo-se especificamente à CVE-2026-53413. Naquele momento, o foco era na rápida ação do Zoom para mitigar uma RCE zero-click no protocolo de anotação. Agora, aprofundamos a compreensão: não é apenas uma, mas um conjunto de três vulnerabilidades interligadas, incluindo a CVE-2026-53414 e a CVE-2026-53415, que foram detalhadas pela startup de segurança 'A Security'.

A nova revelação explora o contexto da descoberta dessas falhas. A startup 'A Security' afirma ter usado modelos de IA disponíveis publicamente para identificar e desenvolver um exploit funcional em menos de um dia, o que levanta novas questões sobre a democratização de ferramentas de ciberataque. Além disso, a divulgação agora revela divergências entre a classificação de risco da startup (CVSS 9.0) e a do próprio Zoom (8.3 e 6.5), e até mesmo a atribuição da descoberta de uma das falhas, com o Zoom creditando sua equipe interna em um dos casos.

A recorrência de vulnerabilidades críticas em plataformas de comunicação como o Zoom sublinha a fragilidade da infraestrutura digital global. Para empresas e governos, que dependem do Zoom para reuniões sensíveis, a gestão de patches e a verificação contínua de segurança são indispensáveis. A exploração zero-click torna a ameaça ainda mais perigosa, pois não exige interação do usuário, dificultando a detecção e a prevenção.

Esta notícia também reforça uma tendência preocupante na cibersegurança: a aceleração da descoberta de vulnerabilidades críticas. Em 17 de julho de 2026, o CEVIU já alertava sobre outra falha crítica de CVSS 9.8 no Zoom que permitia tomada de conta. A utilização de IA para encontrar exploits, como a alegada pela 'A Security', pode reduzir o tempo entre a identificação de uma falha e a criação de um ataque, elevando o nível de alerta para todas as organizações.