Zoomsday: vulnerabilità critica zero-click di Zoom scoperta dall'IA

Causa principale: Una mancata verifica dei limiti nella funzione di annotazione dei client Zoom permette un buffer over-write. Nello specifico, Zoom allocava quattro buffer fissi da 128 byte per la deserializzazione delle annotazioni di testo, ma non convalidava correttamente la lunghezza dell'input, consentendo un overflow.

Vettore d'attacco: Un attaccante già presente in una riunione (durante una condivisione schermo attiva con annotazione abilitata) poteva eseguire silenziosamente codice sul dispositivo di un altro partecipante, con zero clic richiesti da parte della vittima.

Valutazione della gravità: CVSS 9.0 (Critico) secondo CVSS v4.0 e CVSS 9.8 secondo v3.x. Lo stesso bollettino di sicurezza di Zoom lo ha classificato come "Alto" livello di gravità.

Altre CVE incluse nella stessa patch: CVE-2026-53414 (elevazione dei privilegi) e CVE-2026-53415 (una seconda RCE zero-click nel motore di annotazione).

Come è stata scoperta Zoomsday dall'IA in meno di 24 ore?

I ricercatori di A Security, un'azienda di sicurezza offensiva autonoma, hanno utilizzato modelli di IA all'avanguardia pubblicamente disponibili per scoprire e armare la falla.

• Tempo per lo sfruttamento: Meno di 24 ore.
• Numero di prompt: Meno di 20 prompt su modelli di IA pubblici.
• Processo: L'IA ha analizzato la logica di deserializzazione delle annotazioni di Zoom, identificato la mancata verifica dei limiti e generato una catena di exploit funzionante, il tutto senza che un essere umano effettuasse manualmente il reverse engineering del binario. Idan Levcovich, ricercatore senior di vulnerabilità di A Security, ha dichiarato a SC Media che il team ha lavorato specificamente con i modelli Claude Opus 4.7 e Opus 4.8 di Anthropic.
• Cronologia della scoperta: Le vulnerabilità sono state scoperte l'8 giugno 2026, con un exploit funzionante contro Zoom 7.0.5 confermato il giorno successivo. I risultati sono stati segnalati privatamente a Zoom il 10 giugno.

Quali piattaforme e versioni sono state interessate?

La vulnerabilità ha colpito tutti i client Zoom nativi su ogni piattaforma principale.

Anche Zoom Rooms per Windows è stato interessato prima di specifici aggiornamenti di versione. Zoom è utilizzato da circa il 70% delle aziende Fortune 100, il che conferisce alla falla un impatto potenziale molto ampio.

Quando è stata corretta?

Zoom ha pubblicato il bollettino di sicurezza (ZSB-26015) e ha distribuito le patch l'11 agosto 2026. Le correzioni per i client erano state effettivamente rilasciate a giugno e luglio, circa due mesi prima che le falle venissero rese pubbliche. Al momento della pubblicazione, non è stato segnalato alcuno sfruttamento.

La vulnerabilità esisteva in tutte le versioni fino alla 7.0.5 inclusa. Le versioni corrette sono Zoom client 7.1.5 e 7.0.6 per tutte le piattaforme. Zoom Rooms e Zoom Meeting SDK richiedono la versione 7.1.0 o successiva.

Implicazioni più ampie: scoperta accelerata dall'IA che supera la gestione delle patch

La divulgazione di Zoomsday ha suscitato notevole preoccupazione in tutto il settore della sicurezza. I ricercatori l'hanno descritta come un "colpo di avvertimento": se i modelli avanzati possono trovare e armare falle critiche in modo benigno, gli attaccanti possono farlo in modo dannoso alla stessa velocità.

Asimmetria di velocità: Un'IA può trovare e armare una RCE critica zero-click in meno di 24 ore con meno di 20 prompt, ma il ciclo di patch di un fornitore, anche se rapido, richiede giorni o settimane per essere sviluppato, testato e distribuito su tutte le piattaforme.

Democratizzazione dello sfruttamento avanzato: In passato, un lavoro del genere avrebbe potuto richiedere mesi a un'agenzia statale e milioni di dollari. L'IA lo rende accessibile a chiunque abbia accesso a un modello avanzato.

Amplificazione zero-click: Poiché l'exploit non richiede interazione da parte dell'utente, bypassa la maggior parte delle difese a livello utente e ricade interamente sulla gestione delle patch e sui controlli a livello di rete.

Compressione della finestra di patch: Il divario tra la scoperta di una vulnerabilità (da parte di ricercatori o attaccanti) e la disponibilità di una correzione si sta riducendo a zero. Le organizzazioni che non possono aggiornare Zoom in poche ore, come ambienti air-gapped, industrie regolamentate o grandi aziende con consigli di controllo delle modifiche, sono sempre più esposte.

Preoccupazione per la catena di fornitura: La vulnerabilità risiedeva nel protocollo di annotazione proprietario di Zoom, presente su ogni client. Un attaccante aiutato dall'IA avrebbe potuto compromettere silenziosamente ogni partecipante in una singola riunione, trasformando gli strumenti di collaborazione in vettori di distribuzione di massa.

Zoomsday è una dimostrazione lampante che l'IA ha cambiato fondamentalmente la velocità di scoperta delle vulnerabilità. Il settore della sicurezza deve ora fare i conti con una nuova realtà: gli attaccanti hanno già adottato l'IA, mentre il ciclo delle patch no.