Falha crítica no Zoom permitia invasão de dispositivos sem interação da vítima

Foi identificada uma vulnerabilidade grave no Zoom que possibilitava que invasores assumissem o controle de dispositivos durante uma chamada, sem que a vítima precisasse realizar qualquer clique ou download.

A falha foi descoberta pela A Security utilizando menos de vinte comandos em modelos de inteligência artificial acessíveis publicamente, um processo que foi concluído em menos de 24 horas.

O problema estava associado ao recurso de anotações do aplicativo e não dependia de qualquer ação por parte do usuário. O Zoom já disponibilizou as correções necessárias para sanar essa vulnerabilidade.

O recurso de anotações é utilizado pelos participantes para desenhar na tela enquanto há compartilhamento de tela. Foi nesta funcionalidade que os pesquisadores detectaram uma falha de corrupção de memória.

De acordo com a A Security, o sistema do Zoom processava automaticamente certas mensagens recebidas. Ao receber uma mensagem especificamente elaborada, um invasor conseguia corromper a memória do aparelho e executar código malicioso.

Este ataque podia ocorrer em ambas as direções: um participante mal-intencionado poderia comprometer o apresentador, e um apresentador já invadido poderia afetar outros participantes, tudo sem que a vítima precisasse interagir com nada.

A vulnerabilidade existia nas versões do Zoom até a 7.0.5 e, segundo os pesquisadores, impactava diversos sistemas e dispositivos. A A Security também alertou que clientes anteriores às versões 7.1.5 e 7.0.6 permaneciam vulneráveis mesmo quando configurados com criptografia de ponta a ponta.

Um aspecto notável foi a rapidez da descoberta. A A Security relatou ter conseguido criar um exploit funcional, desde a identificação da falha, usando menos de vinte comandos de IA em menos de um dia.

Idan Levcovich, pesquisador de vulnerabilidades da A Security, comentou que tais explorações tradicionalmente demandavam equipes altamente especializadas, meses de dedicação e vastos recursos financeiros, comparando-o a um «trabalho de Estado-nação». Ele ressaltou que a A Security realizou isso em um único dia com o auxílio de um agente de IA e modelos abertos.

A avaliação da empresa de segurança demonstrou como a inteligência artificial tem capacidade de diminuir a barreira para o desenvolvimento de ataques complexos.

A empresa de segurança notificou o Zoom sobre a vulnerabilidade em junho de 2026. Ambas as partes colaboraram, e a plataforma implementou os reparos tanto no cliente quanto nos servidores antes que a informação fosse tornada pública.

Detalhes das Vulnerabilidades

As falhas foram catalogadas sob os códigos CVE-2026-53413, CVE-2026-53414 e CVE-2026-53415, todas classificadas com pontuação crítica de 9,0 no padrão CVSS 4.0. O Zoom também emitiu um aviso de segurança oficial.

Caso explorada, a falha poderia resultar no roubo de informações, na ativação indevida da câmera ou do microfone, ou na instalação de softwares maliciosos adicionais. A A Security observou que não havia sinais visuais de que o dispositivo tivesse sido comprometido.

Este incidente ilustra uma transformação no panorama da segurança digital, onde as ferramentas de IA aceleram tanto a detecção de falhas quanto a criação de exploits. Para usuários e corporações, a manutenção dos aplicativos atualizados permanece sendo uma prática essencial frente a este tipo de risco.