Zoom corrige falha 'Zoomsday' de execução remota de código via zero-click

A vulnerabilidade 'Zoomsday', rastreada como CVE-2026-53413, expôs uma falha crítica no protocolo de anotação proprietário do Zoom. Essa brecha de segurança permitia que um estouro de buffer de stack fosse acionado por um atacante, sem qualquer interação da vítima. O problema residia especificamente na função CAnnoFormatBlock::Deserialize, onde um valor controlado pelo atacante podia exceder buffers fixos de 128 bytes, sobrescrevendo a memória adjacente. Isso abria caminho para a execução remota de código (RCE) em computadores de participantes.

A vulnerabilidade, descoberta pela A Security, era especialmente perigosa por ser 'zero-click'. Um invasor em uma reunião Zoom poderia simplesmente enviar uma mensagem especialmente formatada para corromper a memória do cliente receptor e rodar código arbitrário. A falha afetava todas as versões do Zoom até a 7.0.5 em diversas plataformas, incluindo Windows, Mac, iPhone, Android e Linux, permitindo roubo de dados, ativação de câmeras ou microfones e instalação de malware silenciosamente.

Esta correção marca mais um esforço da Zoom para garantir a segurança da sua plataforma. Em 17 de julho de 2026, o CEVIU News noticiou um alerta crítico da própria Zoom sobre uma falha de segurança que permitia a tomada de controle de contas, com um CVSS de 9.8. Naquela ocasião, a vulnerabilidade tinha relação com validação inadequada de entrada no cliente de desktop. Agora, a 'Zoomsday' representa uma ameaça de natureza diferente e, de certa forma, mais insidiosa: um ataque zero-click de RCE diretamente no protocolo de anotação. Enquanto a falha anterior podia permitir a tomada de conta, a 'Zoomsday' possibilitava a execução de código arbitrário sem qualquer ação do usuário, evidenciando uma evolução na sofisticação dos vetores de ataque explorados.

A correção da 'Zoomsday' é crucial para a integridade da comunicação empresarial e pessoal global. Com a prevalência do trabalho remoto e das reuniões virtuais, plataformas como o Zoom tornaram-se alvos primários para ciberataques. Uma vulnerabilidade zero-click de execução remota de código permite que atacantes comprometam sistemas sem deixar rastros, comprometendo dados sensíveis, propriedade intelectual e a privacidade dos usuários. A capacidade de um invasor de ativar microfones ou câmeras de forma indetectável ressalta a urgência de manter os clientes do Zoom sempre atualizados.