Uma falha no recurso de anotações do Zoom poderia transformar uma reunião aparentemente comum em uma porta de entrada para o computador de outro participante. Pesquisadores da empresa de segurança A Security identificaram vulnerabilidades que permitiam a um participante malicioso executar código no dispositivo de outra pessoa sem que ela precisasse clicar em links, abrir arquivos ou autorizar alguma ação.
O problema foi corrigido pelo Zoom após a descoberta, e as correções foram distribuídas em diferentes etapas. A investigação também chamou atenção por outro motivo: os pesquisadores afirmam ter utilizado menos de 20 prompts em modelos de inteligência artificial disponíveis publicamente para encontrar as falhas e construir um ataque funcional.
Como o ataque funcionava
O recurso de anotação permite que participantes desenhem, escrevam ou façam marcações durante o compartilhamento de tela.
É justamente nessa comunicação que estava o problema.
Um participante malicioso poderia enviar dados especialmente preparados pelo protocolo utilizado pelas anotações. O processamento dessas informações pelo aplicativo poderia ser explorado para provocar corrupção de memória e, em determinadas condições, permitir a execução de código no dispositivo de outro participante.
O cenário era particularmente preocupante porque a vítima não precisava interagir com o conteúdo malicioso.
Bastava estar na reunião em uma situação na qual o recurso de anotação estivesse sendo utilizado.
Ataque poderia assumir o controle do computador
De acordo com os pesquisadores, a exploração poderia permitir que um invasor executasse código no computador da vítima.
Na prática, isso poderia abrir caminho para ações como instalação de malware, acesso a arquivos e roubo de informações. Pesquisadores também demonstraram cenários envolvendo acesso a recursos do dispositivo, incluindo câmera e microfone.
O risco não estava restrito a um sistema operacional específico. A investigação apontou impacto em versões do Zoom para Windows, macOS, Linux, Android e iOS.
Isso ampliava consideravelmente o alcance potencial da vulnerabilidade.
Três falhas estavam relacionadas ao recurso
A pesquisa identificou uma cadeia de problemas no mecanismo de processamento das anotações.
Uma das vulnerabilidades permitia manipular dados recebidos pelo cliente de forma a provocar uma condição de corrupção de memória. A partir dessa falha, os pesquisadores conseguiram avançar para outras etapas necessárias à execução de código.
O cenário mostra como uma sequência de vulnerabilidades aparentemente específicas pode resultar em um comprometimento muito mais grave quando explorada em conjunto.
O caso também evidencia a importância de analisar recursos considerados secundários. Ferramentas como chat, compartilhamento de tela e anotações podem parecer menos críticas do que autenticação ou armazenamento, mas ainda processam dados recebidos de outros usuários.
Vítima não precisava clicar em nada
Um dos aspectos mais preocupantes era a ausência de uma ação explícita por parte do alvo.
Ataques tradicionais frequentemente dependem de engenharia social: o usuário precisa abrir um anexo, clicar em um link ou instalar algum programa.
Nesse caso, a presença em uma reunião poderia ser suficiente para colocar o participante em risco, dependendo das condições necessárias para a exploração.
A ausência de uma indicação visual também dificultava a percepção do ataque. Segundo os pesquisadores, não havia um alerta evidente na interface informando que o computador estava sendo comprometido.
Inteligência artificial acelerou a descoberta
O episódio ganhou ainda mais repercussão porque a equipe da A Security utilizou ferramentas de IA durante a pesquisa.
Segundo os pesquisadores, foram necessários menos de 20 prompts em modelos públicos para ajudar a identificar o comportamento vulnerável e chegar a uma exploração funcional.
Isso não significa que a IA tenha realizado sozinha todo o trabalho de pesquisa.
Especialistas humanos ainda foram responsáveis pela investigação, validação dos resultados e construção do processo de exploração. Porém, o caso demonstra como modelos de IA podem reduzir o tempo necessário para analisar código e encontrar caminhos potencialmente exploráveis.
Essa mudança preocupa porque ferramentas que antes exigiam equipes altamente especializadas e meses de trabalho podem se tornar mais acessíveis a pesquisadores — e também a criminosos.
Zoom já corrigiu as vulnerabilidades
O Zoom foi informado sobre os problemas e implementou correções antes da divulgação pública da pesquisa.
A empresa distribuiu atualizações tanto nos componentes de servidor quanto nos aplicativos utilizados pelos clientes.
A recomendação geral da própria companhia é manter o Zoom atualizado para receber as correções de segurança mais recentes. A página oficial de boletins de segurança da plataforma reforça essa orientação.
Entre as versões que receberam correções para a cadeia de falhas estão Zoom Workplace 7.1.5 e 7.0.6, além de versões específicas para VDI, Rooms e Meeting SDK, conforme informações divulgadas pelos pesquisadores.
O problema é diferente de um simples “Zoom bomb”
O caso não deve ser confundido com o chamado Zoombombing, quando pessoas não autorizadas entram em reuniões para interromper ou constranger participantes.
Aqui, o problema era técnico.
O invasor poderia ser um participante legítimo da reunião e utilizar o próprio mecanismo de comunicação do Zoom para tentar explorar o dispositivo de outro participante.
Isso muda completamente o cenário de ameaça.
Uma reunião corporativa com clientes, fornecedores ou parceiros, por exemplo, poderia representar uma superfície de ataque caso um participante malicioso conseguisse ingressar no encontro.
Empresas precisam olhar além do link da reunião
O episódio serve como alerta especialmente para organizações que utilizam videoconferências para atividades sensíveis.
Reuniões podem envolver informações estratégicas, documentos confidenciais, apresentações de produtos ainda não lançados e conversas sobre projetos internos.
Se uma vulnerabilidade permite transformar o participante da reunião em vetor de comprometimento do computador, o risco deixa de estar limitado ao conteúdo da chamada.
Um dispositivo corporativo comprometido também pode oferecer acesso a credenciais, arquivos e outros sistemas da empresa.
Por isso, além de manter o software atualizado, organizações devem adotar controles adicionais, como autenticação multifator, privilégios mínimos e segmentação de ambientes.
IA também muda o cenário de defesa
A utilização de inteligência artificial para encontrar a falha adiciona uma camada importante à discussão.
A mesma tecnologia que ajuda pesquisadores a analisar código pode ser utilizada por criminosos para acelerar a busca por vulnerabilidades.
Isso tende a aumentar a velocidade do chamado ciclo de ataque e defesa.
Empresas precisam, portanto, reduzir o tempo entre a divulgação de uma vulnerabilidade e a instalação da correção.
Quanto mais rápido uma falha é corrigida, menor é a janela disponível para que ela seja explorada.
O que usuários do Zoom devem fazer?
A principal recomendação é simples: atualizar o Zoom para a versão mais recente disponível para o dispositivo.
Usuários corporativos também devem verificar se as versões utilizadas em ambientes gerenciados receberam as correções correspondentes.
Além disso, empresas podem:
- manter aplicativos de videoconferência atualizados;
- restringir quem pode ingressar em reuniões;
- evitar links de reuniões divulgados publicamente quando não forem necessários;
- utilizar salas de espera;
- controlar quem pode utilizar recursos de colaboração;
- aplicar políticas de menor privilégio nos computadores;
- monitorar atividades suspeitas nos dispositivos corporativos.
Essas medidas não substituem a atualização, mas reduzem a superfície de ataque.
Zoomsday mostra uma nova realidade para aplicativos de reunião
O caso ficou conhecido entre pesquisadores como “Zoomsday” e representa um alerta sobre a segurança de plataformas de colaboração.
Aplicativos de videoconferência processam continuamente áudio, vídeo, mensagens, arquivos e comandos enviados por diferentes participantes. Cada recurso adicional pode representar uma nova superfície para ataques.
O fato de pesquisadores terem conseguido chegar a uma exploração com auxílio de modelos públicos de IA acrescenta outro elemento à equação.
Para usuários, a principal lição é direta: estar dentro de uma reunião não deveria significar confiar automaticamente em tudo que o aplicativo recebe de outros participantes.
Para empresas, o episódio reforça a necessidade de tratar ferramentas de colaboração como componentes críticos da infraestrutura digital — e não apenas como aplicativos de comunicação.
