Тем, кто использует широко распространенное программное обеспечение для видеоконференций Zoom, следует как можно скорее обновить его до последней версии. Таким образом провайдер закрыл несколько опасных брешей в системе безопасности. Одна из них позволяет злоумышленникам запускать вредоносный код на устройствах других участников прямо во время активной встречи. Для этого, вероятно, не требуется взаимодействия с пользователем.
Упомянутая уязвимость зарегистрирована как CVE-2026-53413 (откроется в новом окне), ее первооткрыватели называют ее "Zoomsday", и она имеет высокий уровень серьезности (CVSS: 8,3). Согласно описанию, причиной являются возможные операции записи за пределами выделенных границ буфера.
Подробности об уязвимости можно найти в сообщении в блоге исследователей безопасности из A Security (откроется в новом окне). В нем CVE-2026-53413 описывается как уязвимость нулевого клика, которая была обнаружена с помощью искусственного интеллекта и сообщена в Zoom уже 10 июня. По словам исследователей, они нашли брешь менее чем за 24 часа, используя менее 20 подсказок в общедоступных моделях ИИ.
Атака остается незамеченной
По данным A Security, брешь находится в функции аннотаций Zoom, которая основана на проприетарном протоколе. Согласно отчету, жертве атаки не нужно делать ничего, кроме как присоединиться к встрече. Злоумышленник может самостоятельно скомпрометировать целевое устройство через активную встречу, отправляя специально созданные сообщения клиенту Zoom выбранного участника встречи.
"Протокол открывает прямой канал между зрителем и участником, который делится контентом, так что злоумышленник может нацелиться на каждого участника по отдельности", — пишут исследователи. При этом визуальных признаков, указывающих на атаку, не существует. Таким образом, компрометация может произойти незаметно.
"Как только вредоносный код выполняется на устройстве жертвы, злоумышленник может незаметно украсть личные данные, включить микрофон или камеру для шпионажа за целью или установить дополнительное вредоносное ПО", — предупреждают исследователи. "В большой телефонной конференции это означает: комната, полная целей, из-за одного-единственного сообщения — и ни одно место не безопасно".
Патчи для всех вариантов Zoom
По данным A Security, уязвимыми считаются все распространенные клиенты Zoom для Windows, MacOS, iOS, Android и Linux вплоть до версии 7.0.5 включительно. Полный патч для Zoom Workplace был выпущен в июле с версиями 7.1.5 и 7.0.6 (откроется в новом окне). Клиент Zoom Workplace VDI для Windows защищен, начиная с версий 7.0.11 и 6.6.16. В Zoom Rooms и Zoom Meeting SDK брешь была закрыта версией 7.1.0.
Те же самые релизы Zoom также закрывают еще две (откроется в новом окне) дополнительные уязвимости (откроется в новом окне), которые также были обнаружены A Security и зарегистрированы как CVE-2026-53414 (откроется в новом окне) и CVE-2026-53415 (откроется в новом окне). Одна из них основана на ошибке use-after-free и также позволяет удаленное выполнение кода. С помощью другой уязвимости злоумышленники могут вызвать сбой программного обеспечения на устройствах других участников встречи.