Zoom выпустил исправления для нескольких уязвимостей, которые потенциально позволяли участнику встречи захватить устройство другого пользователя. Это значит, что злоумышленник мог выполнить вредоносный код на устройстве других участников без их ведома.
Что случилось
Недавно обнаруженные уязвимости связаны с инструментом аннотирования, который позволяет пользователям рисовать и вводить текст на общем экране. Согласно данным исследования, уязвимости не требовали никакого взаимодействия со стороны жертвы — достаточно было присутствовать на встрече.
Фирма, проводившая исследование, A Security, утверждает, что за один день разработала рабочий эксплойт, используя менее 20 команд на публично доступных AI-моделях. Zoom сообщила, что исследователи передали ей информацию об уязвимостях в июне 2026 года, а исправления компания начала разворачивать к моменту публикации деталей в августе. На данный момент случаев эксплуатации уязвимостей не зафиксировано.
Технические детали уязвимостей
Обнаруженные проблемы отслеживаются как CVE-2026-53413, CVE-2026-53414 и CVE-2026-53415; A Security оценивает их как критические с баллом CVSS 9.0. Исследователи заметили, что ошибка возникает в механизме обработки сообщений аннотирования. Это позволяет злоумышленнику отправить специально сформированный объект, который будет обработан клиентом жертвы.
Изучая типы сообщений, исследователи пришли к выводу, что клиент недостаточно проверяет роль отправителя и происхождение таких пакетов, что создает возможность для злоумышленника воздействовать на устройство другого участника. Такие уязвимости представляют собой существенную угрозу, особенно на фоне того, что во множестве организаций Zoom активно используют для дистанционных встреч.
Что это значит для пользователей
Для пользователей Zoom это должно послужить напоминанием о том, насколько важно обновлять программное обеспечение и применять патчи безопасности. Наличие нескольких патчей в этом случае подчеркивает, что уязвимости были известны достаточно долго, и организации должны уделять внимание вопросам кибербезопасности, особенно в условиях удаленной работы.
Пользователям следует проверить, обновлены ли их клиенты до последних версий, чтобы минимизировать риски. Учитывая, что Zoom активно развивается и постоянно добавляет новые функции, риски безопасности остаются на повестке дня.
Следующим шагом для Zoom станет усиление системы обнаружения уязвимостей и дальнейшее развитие защиты от потенциальных киберугроз в будущем.