Zoomsday: AI Temukan Celah Kritis Zoom Zero-Click Kurang dari 24 Jam dengan 20 Perintah

Pada Agustus 2026, Zoom menambal celah keamanan kritis yang dapat memungkinkan peserta rapat mengambil alih perangkat peserta lain secara diam-diam — tanpa satu klik pun, tanpa peringatan, dan tanpa indikasi visual. Celah yang dijuluki "Zoomsday" oleh peneliti yang menemukannya ini ditemukan dan dieksploitasi sepenuhnya menggunakan model AI publik dalam waktu kurang dari 24 jam dan hanya dengan kurang dari 20 perintah. Pengungkapan ini telah mengguncang industri keamanan, memunculkan pertanyaan mendesak tentang bagaimana organisasi dapat bertahan dari penemuan celah yang dipercepat AI yang sudah melampaui siklus patch perusahaan.

Apa Itu Celah Zoomsday (CVE-2026-53413)?

CVE-2026-53413 adalah celah zero-click remote code execution (RCE) kritis pada fitur anotasi Zoom — alat yang memungkinkan peserta rapat menggambar, menyorot, atau mengetik di layar bersama.

Penyebab utama: Tidak adanya pemeriksaan batas (bounds check) pada fungsi annotator klien Zoom memungkinkan buffer over-write. Secara spesifik, Zoom mengalokasikan empat buffer tetap 128-byte untuk deserialisasi anotasi teks tetapi tidak memvalidasi panjang input dengan benar, sehingga memungkinkan overflow.

Vektor serangan: Penyerang yang sudah hadir dalam rapat (saat berbagi layar aktif dengan anotasi diaktifkan) dapat menjalankan kode pada perangkat peserta lain — tanpa satu klik pun diperlukan dari korban.

Peringkat keparahan: CVSS 9.0 (Kritis) di bawah CVSS v4.0, dan CVSS 9.8 di bawah v3.x. Buletin keamanan Zoom sendiri mengklasifikasikannya sebagai keparahan "Tinggi".

CVE terkait yang dibundel dalam patch yang sama: CVE-2026-53414 (elevasi hak istimewa) dan CVE-2026-53415 (celah zero-click RCE kedua di mesin anotasi).

Bagaimana Zoomsday Ditemukan oleh AI dalam Kurang dari 24 Jam?

Peneliti di A Security, sebuah firma keamanan ofensif otonom, menggunakan model AI frontier publik untuk menemukan dan mengeksploitasi celah tersebut.

• Waktu untuk eksploitasi: Kurang dari 24 jam.
• Jumlah perintah: Kurang dari 20 perintah pada model AI publik.
• Proses: AI menganalisis logika deserialisasi anotasi Zoom, mengidentifikasi tidak adanya pemeriksaan batas, dan menghasilkan rantai eksploitasi yang berfungsi — semuanya tanpa seorang pun yang melakukan reverse-engineering biner secara manual. Peneliti Senior Kerentanan A Security, Idan Levcovich, mengatakan kepada SC Media bahwa tim secara khusus bekerja dengan model Anthropic Claude Opus 4.7 dan Opus 4.8.
• Garis waktu penemuan: Kerentanan ditemukan pada 8 Juni 2026, dengan eksploitasi yang berfungsi terhadap Zoom 7.0.5 dikonfirmasi pada hari berikutnya. Temuan tersebut dilaporkan secara pribadi ke Zoom pada 10 Juni.

Platform dan Versi Mana yang Terpengaruh?

Kerentanan ini memengaruhi semua klien Zoom asli di setiap platform utama.

Platform	Versi Terpengaruh	Versi yang Ditambal
Windows	Sebelum 7.1.5 dan 7.0.6	7.1.5 / 7.0.6
macOS	Sebelum 7.1.5 dan 7.0.6	7.1.5 / 7.0.6
iOS	Sebelum 7.1.5 dan 7.0.6	7.1.5 / 7.0.6
Android	Sebelum 7.1.5 dan 7.0.6	7.1.5 / 7.0.6
Linux	Sebelum 7.1.5 dan 7.0.6	7.1.5 / 7.0.6

Zoom Rooms untuk Windows juga terpengaruh sebelum pembaruan versi tertentu. Zoom digunakan oleh sekitar 70% Fortune 100, memberikan celah ini dampak potensial yang sangat luas.

Kapan Celah Ini Ditambal?

Zoom menerbitkan buletin keamanan (ZSB-26015) dan merilis patch pada 11 Agustus 2026. Perbaikan klien sebenarnya dikirim pada Juni dan Juli, sekitar dua bulan sebelum celah tersebut dipublikasikan. Tidak ada eksploitasi yang dilaporkan pada saat publikasi.

Kerentanan ada di semua versi hingga dan termasuk 7.0.5. Versi yang ditambal adalah klien Zoom 7.1.5 dan 7.0.6 untuk semua platform. Zoom Rooms dan Zoom Meeting SDK memerlukan versi 7.1.0 atau lebih baru.

Implikasi Lebih Luas: Penemuan yang Dipercepat AI Melampaui Manajemen Patch

Pengungkapan Zoomsday telah memicu kekhawatiran signifikan di seluruh industri keamanan. Para peneliti menggambarkannya sebagai "tembakan peringatan" — jika model frontier dapat menemukan dan mengeksploitasi celah kritis secara benigna, pelaku ancaman dapat melakukannya secara jahat dengan kecepatan yang sama.

Asimetri kecepatan: AI dapat menemukan dan mengeksploitasi RCE zero-click kritis dalam waktu kurang dari 24 jam dengan kurang dari 20 perintah, tetapi siklus patch vendor — bahkan yang cepat — membutuhkan waktu berhari-hari hingga berminggu-minggu untuk dikembangkan, diuji, dan diterapkan di semua platform.

Demokratisasi eksploitasi canggih: Di masa lalu, pekerjaan seperti ini mungkin membutuhkan waktu berbulan-bulan dan jutaan dolar oleh negara-bangsa. AI membuatnya dapat diakses oleh siapa saja yang memiliki akses ke model frontier.

Amplifikasi zero-click: Karena eksploitasi tidak memerlukan interaksi pengguna, ini melewati sebagian besar pertahanan tingkat pengguna dan membebankan seluruh beban pada manajemen patch dan kontrol tingkat jaringan.

Kompresi jendela patch: Kesenjangan antara penemuan kerentanan (oleh peneliti atau penyerang) dan ketersediaan perbaikan menyusut menuju nol. Organisasi yang tidak dapat memperbarui Zoom dalam hitungan jam — seperti lingkungan air-gapped, industri yang diatur, atau perusahaan besar dengan dewan kontrol perubahan — semakin terpapar.

Kekhawatiran rantai pasokan: Kerentanan ada di protokol anotasi proprietary Zoom, yang ada di setiap klien. Penyerang yang dibantu AI bisa secara diam-diam membahayakan setiap peserta dalam satu rapat — mengubah alat kolaborasi menjadi vektor penyebaran massal.

Zoomsday adalah demonstrasi nyata bahwa AI telah secara fundamental mengubah kecepatan penemuan kerentanan. Industri keamanan kini harus menghadapi kenyataan baru: para penyerang telah mengadopsi AI, dan siklus patch belum.