Zoom załatał poważną lukę w funkcji adnotacji, która mogła pozwolić jednemu uczestnikowi spotkania na zdalne wykonanie kodu na urządzeniu innego uczestnika.
Luka, śledzona jako CVE-2026-53413, dotyczy funkcji adnotacji po stronie klienta Zoom. Własny biuletyn Zoom opisuje problem jako brak kontroli granic w funkcji annotatora, który może prowadzić do nadpisania bufora i może pozwolić uczestnikowi spotkania na wykonanie kodu na kliencie innego uczestnika przez dostęp sieciowy. Zoom ocenia problem jako wysoki, z wynikiem CVSS równym 8,3.
Zespół badawczy, który odkrył problem, A Security, nazwał łańcuch exploitów „Zoomsday”. Firma poinformowała, że błąd mógł pozwolić atakującemu na zorganizowanie spotkania lub dołączenie do niego i zaatakowanie innego uczestnika, bez kliknięcia, pobierania czy widocznych oznak włamania po stronie ofiary.
Co się stało
Luka znajduje się w funkcji adnotacji Zoom — narzędziu, które pozwala uczestnikom rysować, pisać, zaznaczać lub dodawać kształty na udostępnianych ekranach i tablicach.
Według technicznego podsumowania badań opublikowanego przez SC Media dane adnotacji w Zoom są serializowane do obiektów wewnętrznych, pakowane w komunikaty protokołu, przesyłane przez infrastrukturę spotkań Zoom, a następnie deserializowane przez klienta odbierającego. Podatna ścieżka kodu dotyczyła sposobu, w jaki Zoom obsługiwał dane formatowania adnotacji tekstowych w swojej bibliotece adnotacji.
Problemem nie była błędna konfiguracja spotkań przez użytkowników.
Problemem było to, że złośliwy uczestnik mógł wysłać specjalnie spreparowane dane adnotacji, które inny klient następnie przetwarzał. Jeśli robiła to podatna wersja, takie przetwarzanie mogło uszkodzić pamięć i otworzyć drogę do wykonania kodu.
Mówiąc prosto: funkcja przeznaczona do rysowania na udostępnianych ekranach stała się możliwą ścieżką ataku między uczestnikami spotkania.
Dlaczego to takie poważne
Ten rodzaj luki jest niebezpieczny, ponieważ w spotkaniach Zoom często uczestniczą osoby z różnych organizacji.
Użytkownik może dołączyć do rozmowy sprzedażowej, spotkania z dostawcą, webinaru, rozmowy rekrutacyjnej, sesji wsparcia lub zewnętrznej rozmowy współpracy z osobami, którym nie do końca ufa. Jeśli jeden uczestnik może zaatakować klienta innego uczestnika z wnętrza spotkania, samo spotkanie staje się kanałem dostarczania ataku.
A Security ostrzegło, że gdy złośliwy kod zostanie uruchomiony na urządzeniu ofiary, atakujący może potencjalnie wykradać dane, aktywować mikrofon lub kamerę albo instalować dodatkowe złośliwe oprogramowanie.
To sprawia, że skutki są większe niż zakłócona rozmowa.
Staje się to ryzykiem przejęcia punktu końcowego.
Problem wieloplatformowy
Komunikat Zoom wymienia kilka dotkniętych rodzin produktów, w tym Zoom Workplace, Zoom Workplace VDI Client for Windows, Zoom Rooms i Zoom Meeting SDK na obsługiwanych platformach. Poprawione wersje obejmują Zoom Workplace 7.1.5 i 7.0.6 w odpowiednich gałęziach, VDI Client for Windows 7.0.11 i 6.6.16, Zoom Rooms 7.1.0 oraz Meeting SDK 7.1.0.
Ta szerokość ma znaczenie.
Zoom to nie tylko aplikacja desktopowa. Jest używany w systemach Windows, macOS, Linux, na urządzeniach mobilnych, w salach konferencyjnych, środowiskach VDI i osadzonych SDK spotkań.
Przedsiębiorstwa muszą więc myśleć szerzej niż o aktualizacji jednego obrazu stacji roboczej. Muszą sprawdzić zarządzane punkty końcowe, obrazy pulpitów wirtualnych, sale konferencyjne, aplikacje oparte na SDK oraz wszelkie urządzenia, które mogą nie aktualizować się automatycznie.
Wątek AI
Jedną z najbardziej uderzających części tej historii jest to, jak szybko podobno zakończono badania.
A Security poinformowało, że znalazło problem w ciągu jednego dnia roboczego, używając agenta AI i publicznie dostępnych modeli AI. The Verge podał, że exploit odkryto przy mniej niż 20 promptach, co podkreśla, jak badania luk wspomagane przez AI skracają czas potrzebny na znalezienie i uzbrojenie złożonych błędów.
To nie znaczy, że AI stworzyła tę lukę.
Oznacza to, że AI pomogła badaczom szybciej przejść przez inżynierię wsteczną, odkrywanie błędów i rozwój exploita.
Dla obrońców to większa lekcja. Oprogramowanie, które kiedyś wydawało się zbyt złożone lub zamknięte, by szybko je analizować, może być teraz badane w tempie maszyn przez badaczy — a z czasem przez atakujących.
Co ta luka mówi o narzędziach do współpracy
Nowoczesne platformy do współpracy nie są już prostymi narzędziami do rozmów wideo.
Obejmują udostępnianie ekranu, adnotacje, tablice, czat, przesyłanie plików, zdalne sterowanie, asystentów AI, aplikacje, SDK i integracje. Każda funkcja dodaje kod. Każda ścieżka kodu, która przetwarza dane od innego uczestnika, staje się częścią powierzchni ataku.
Adnotacje są szczególnie wrażliwe, ponieważ są interaktywne. Muszą przyjmować dane na żywo od innych użytkowników, interpretować kształty i tekst, synchronizować stan między klientami i renderować te dane w czasie rzeczywistym.
To czyni je wygodnymi.
Czyni je też ryzykownymi, jeśli logika przetwarzania zawiedzie.
Co powinny zrobić organizacje
Priorytetem jest zaktualizowanie wszystkich klientów Zoom i powiązanych produktów do poprawionych wersji.
Zespoły bezpieczeństwa powinny zweryfikować:
- wersje Zoom Workplace na punktach końcowych pracowników
- wersje klienta VDI
- wersje Zoom Rooms
- wersje Meeting SDK w aplikacjach wewnętrznych lub skierowanych do klientów
- niezarządzane urządzenia używane przez kadrę kierowniczą lub pracowników zdalnych
- urządzenia w salach konferencyjnych i współdzielone systemy konferencyjne
Biuletyn Zoom nakazuje użytkownikom zastosowanie najnowszych dostępnych aktualizacji, aby pozostać chronionymi.
Organizacje powinny też rozważyć ograniczenie zbędnych funkcji spotkań w środowiskach wysokiego ryzyka. Zoom pozwala administratorom włączać lub wyłączać adnotacje na poziomie konta, grupy lub użytkownika, a także oferuje opcję pozwalającą adnotować wyłącznie osobie udostępniającej.
Nie zastępuje to łatania, ale zmniejsza ekspozycję związaną z funkcjami, których wiele firm może nie potrzebować na każdym spotkaniu.
Praktyczne środki zaradcze
Zalecane kroki obronne obejmują:
- natychmiastową aktualizację Zoom Workplace do poprawionych wersji
- aktualizację Zoom Rooms i obrazów VDI
- inwentaryzację aplikacji korzystających z Zoom Meeting SDK
- wyłączenie adnotacji tam, gdzie nie są wymagane
- ograniczenie adnotacji uczestników w spotkaniach zewnętrznych
- wymaganie uwierzytelnionych użytkowników we wrażliwych rozmowach
- unikanie dołączania do rozmów wysokiego ryzyka ze stacji roboczych administratorów z uprawnieniami uprzywilejowanymi
- monitorowanie nietypowych procesów potomnych uruchamianych przez aplikacje do współpracy
- stosowanie mechanizmów EDR na systemach, które regularnie dołączają do spotkań zewnętrznych
- objęcie urządzeń w salach konferencyjnych programem zarządzania poprawkami
W przypadku szczególnie wrażliwych spotkań organizacje mogą też rozważyć użycie izolowanych sesji przeglądarki, dedykowanych urządzeń do spotkań lub utwardzonych pulpitów wirtualnych przy dołączaniu do rozmów z nieznanymi uczestnikami zewnętrznymi.
Dlaczego samo łatanie to nie cała lekcja
Natychmiastowa poprawka jest prosta: zaktualizuj Zoom.
Szersza lekcja dotyczy jednak ekspozycji wewnątrz zaufanych przestrzeni współpracy.
Przedsiębiorstwa często traktują spotkania jako bezpieczne, gdy uczestnicy zostaną już wpuszczeni. Ten incydent pokazuje, że każdy uczestnik jest też potencjalnym źródłem danych, wysyłającym ustrukturyzowane dane wejściowe do każdego innego klienta.
To zmienia model zaufania.
Zaproszenie na spotkanie to nie tylko zdarzenie komunikacyjne. To tymczasowa sieć klientów wymieniających multimedia, metadane, czat, sygnały sterujące, dane udostępniania ekranu i komunikaty protokołu specyficzne dla poszczególnych funkcji.
Jeśli jeden z tych parserów zawiedzie, spotkanie staje się powierzchnią ataku.
Podsumowanie
Luka w adnotacjach Zoom przypomina, że oprogramowanie do współpracy jest dziś infrastrukturą krytyczną.
Błąd w funkcji adnotacji ekranu mógł pozwolić jednemu uczestnikowi na przejęcie klienta innego uczestnika. Ryzyko jest szczególnie poważne, ponieważ współczesna praca opiera się na spotkaniach z dostawcami, klientami, partnerami, kandydatami, wykonawcami i gośćmi zewnętrznymi.
Zoom opublikował poprawki, a organizacje powinny wdrożyć je szybko.
Skoro AI przyspiesza odkrywanie luk, obrońcy potrzebują szybszego łatania, ściślejszej kontroli funkcji, lepszego monitorowania punktów końcowych i ostrożniejszego podejścia do oprogramowania, które przetwarza dane na żywo od niezaufanych użytkowników. W 2026 roku nawet narzędzie do adnotacji na spotkaniach może stać się punktem wejścia.
