Equipe de pesquisadores encontra falhas graves no Zoom em menos de um dia e alerta empresas

Uma equipe de pesquisadores de segurança cibernética anunciou ter identificado três vulnerabilidades críticas no Zoom em menos de 24 horas, permitindo que um invasor assumisse o controle de dispositivos de participantes em reuniões sem que estes precisassem clicar em links ou instalar arquivos. Segundo os especialistas da A Security, as falhas, batizadas de "Zoomsday", estavam relacionadas ao recurso de anotações da plataforma, que permite desenhar e marcar elementos na tela compartilhada durante chamadas.

Os pesquisadores explicaram que, por meio de dados especialmente preparados, era possível causar danos à memória da aplicação Zoom. No pior cenário, o invasor poderia executar códigos maliciosos nos dispositivos de outros participantes, possibilitando o roubo de dados, o acesso remoto à câmera e ao microfone, além da instalação de softwares prejudiciais. "Durante uma grande reunião, uma única mensagem bastava para transformar toda a sala em alvos, sem nenhum local seguro", afirmou a A Security, destacando que a participação na mesma reunião que o atacante já era suficiente para se tornar vítima.

Segundo a A Security, a Zoom foi notificada sobre a primeira vulnerabilidade em 10 de junho de 2026. A empresa então implementou correções progressivamente em suas aplicações e adicionou camadas extras de segurança em seus servidores. As atualizações finais foram lançadas antes da divulgação pública das falhas, em 11 de agosto. A Zoom publicou três boletins de segurança referentes aos erros CVE-2026-53413, CVE-2026-53414 e CVE-2026-53415. Para o Zoom Workplace, as correções estão disponíveis nas versões 7.0.6 e 7.1.5, dependendo da rota de atualização utilizada. A empresa recomenda que todos os usuários instalem a versão mais recente disponível, alertando que o adiamento da atualização pode aumentar os riscos.

A A Security realizou o trabalho sem acesso ao código-fonte da aplicação nem à documentação detalhada do Zoom. A equipe começou pela descompilação do aplicativo para Android e, em seguida, analisou o protocolo responsável pelo envio de anotações, utilizando métodos comuns na área de segurança cibernética. O que chamou a atenção foi a velocidade do processo: segundo os pesquisadores, todo o ciclo — da descoberta da vulnerabilidade ao desenvolvimento de um exploit funcional — levou menos de 24 horas e exigiu menos de 20 comandos direcionados a modelos de IA pública.

Os especialistas da A Security afirmaram que, até então, a criação de exploits avançados exigia infraestrutura especializada, equipes altamente qualificadas, meses de trabalho e orçamentos elevados. Agora, eles alertam que "a barreira que tornava esse tipo de arma rara desapareceu e não deve voltar". Embora tenham utilizado IA principalmente para acelerar a análise, os pesquisadores enfatizaram que uma pessoa sem conhecimento técnico provavelmente não conseguiria replicar o exploit. Mesmo assim, as mesmas ferramentas estão acessíveis a hackers experientes, que podem usá-las para ataques sem notificar os fabricantes.

A descoberta também levanta preocupações sobre o tempo necessário para instalar atualizações críticas. Os hackers costumam analisar relatórios de segurança para replicar vulnerabilidades antes que os usuários instalem as correções. "Uma atualização publicada é como um mapa que leva diretamente à falha", explicaram os pesquisadores. Para os consumidores, isso significa que ignorar notificações de atualização pode ser arriscado. A A Security recomenda que empresas adotem abordagens ofensivas, usando ferramentas de IA para buscar vulnerabilidades em seus próprios sistemas e aplicar correções rapidamente, antes que sejam exploradas por terceiros.

Informado por Business Insider PL.