Zoomsday: จุดจบของ Zoom หรือแค่สัญญาณเตือน? เมื่อ AI ค้นพบช่องโหว่ Zero-Click ในพริบตา

สาเหตุที่แท้จริง: ฟังก์ชัน annotator ใน Zoom Client ขาดการตรวจสอบขอบเขตข้อมูล (bounds check) ทำให้เกิด buffer over-write โดยเฉพาะอย่างยิ่ง Zoom จองบัฟเฟอร์ขนาด 128 ไบต์แบบตายตัวไว้สี่บัฟเฟอร์สำหรับการถอดรหัสข้อมูล annotation แต่ไม่ได้ตรวจสอบความยาวของข้อมูลที่ป้อนเข้ามาอย่างถูกต้อง ทำให้เกิด overflow ได้

ช่องทางโจมตี: ผู้โจมตีที่อยู่ในห้องประชุมอยู่แล้ว (ในระหว่างที่มีการแชร์หน้าจอและเปิดฟีเจอร์ annotation ไว้) สามารถรันโค้ดบนอุปกรณ์ของผู้เข้าร่วมคนอื่นได้อย่างเงียบเชียบ โดยที่เหยื่อ ไม่ต้องคลิกอะไรเลย

ระดับความรุนแรง: CVSS 9.0 (Critical) ภายใต้มาตรฐาน CVSS v4.0 และ CVSS 9.8 ภายใต้ v3.x Zoom จัดอันดับความรุนแรงของช่องโหว่นี้ในระดับ "High"

CVE อื่นๆ ที่ถูกแก้ไขในแพตช์เดียวกัน: CVE-2026-53414 (elevation of privilege) และ CVE-2026-53415 (อีกหนึ่ง zero-click RCE ใน annotation engine)

ช่องโหว่ Zoomsday ถูกค้นพบโดย AI ได้อย่างไรในเวลาไม่ถึง 24 ชั่วโมง?

นักวิจัยจาก A Security ซึ่งเป็นบริษัทด้านความปลอดภัยเชิงรุกอัตโนมัติ (autonomous offensive security) ใช้โมเดล AI ชั้นนำที่เปิดให้สาธารณะได้ใช้ในการค้นพบและสร้างอาวุธจากช่องโหว่นี้

• เวลาในการสร้างอาวุธ: น้อยกว่า 24 ชั่วโมง
• จำนวนพรอมต์: น้อยกว่า 20 พรอมต์ บนโมเดล AI สาธารณะ
• ขั้นตอนการทำงาน: AI วิเคราะห์ตรรกะการถอดรหัส annotation ของ Zoom ระบุจุดที่ขาดการตรวจสอบขอบเขตข้อมูล และสร้างชุดโค้ดโจมตีที่ใช้งานได้ ทั้งหมดนี้โดยไม่ต้องมีมนุษย์ถอดรหัสไบนารีด้วยมือ Idan Levcovich นักวิจัยช่องโหว่อาวุโสของ A Security เปิดเผยกับ SC Media ว่าทีมงานใช้โมเดล Anthropic Claude Opus 4.7 และ 4.8
• ไทม์ไลน์การค้นพบ: ช่องโหว่ถูกค้นพบเมื่อวันที่ 8 มิถุนายน 2026 และมีการยืนยันโค้ดโจมตีที่ใช้ได้ผลบน Zoom 7.0.5 ในวันถัดมา ผลการค้นพบถูกรายงานเป็นการส่วนตัวให้ Zoom ทราบในวันที่ 10 มิถุนายน

แพลตฟอร์มและเวอร์ชันใดบ้างที่ได้รับผลกระทบ?

ช่องโหว่นี้ส่งผลกระทบต่อ Zoom Client ดั้งเดิมทั้งหมด บนทุกแพลตฟอร์มหลัก

Zoom Rooms สำหรับ Windows ก็ได้รับผลกระทบเช่นกัน ก่อนที่จะมีการอัปเดตเป็นเวอร์ชันที่แก้ไขแล้ว Zoom ถูกใช้งานโดยประมาณ 70% ของบริษัทใน Fortune 100 ทำให้ช่องโหว่นี้มีขอบเขตผลกระทบที่กว้างมาก

มีการแก้ไขเมื่อใด?

Zoom เผยแพร่แถลงการณ์ด้านความปลอดภัย (ZSB-26015) และเริ่มทยอยออกแพตช์ในวันที่ 11 สิงหาคม 2026 จริงๆ แล้วแพตช์สำหรับ Client ถูกปล่อยออกไปตั้งแต่เดือนมิถุนายนและกรกฎาคม ประมาณสองเดือนก่อนที่ช่องโหว่จะถูกเปิดเผยต่อสาธารณะ และยังไม่มีรายงานการโจมตี ณ วันที่เผยแพร่ข่าว

ช่องโหว่นี้มีอยู่ในทุกเวอร์ชันจนถึงและรวมถึง 7.0.5 เวอร์ชันที่ได้รับการแก้ไขแล้วคือ Zoom Client 7.1.5 และ 7.0.6 สำหรับทุกแพลตฟอร์ม Zoom Rooms และ Zoom Meeting SDK ต้องการเวอร์ชัน 7.1.0 หรือสูงกว่า

ผลกระทบในวงกว้าง: การค้นพบที่เร่งขึ้นด้วย AI กำลังแซงหน้าการจัดการ Patch

การเปิดเผย Zoomsday ได้จุดประเด็นความกังวลครั้งใหญ่ทั่ววงการความปลอดภัย นักวิจัยอธิบายว่านี่คือ "การยิงเตือน" — หากโมเดล AI ชั้นนำสามารถค้นหาและสร้างอาวุธจากช่องโหว่ร้ายแรงได้อย่างไม่มีพิษภัย ผู้ไม่หวังดีก็สามารถทำเช่นเดียวกันในความเร็วเท่ากัน

ความไม่สมดุลของความเร็ว: AI สามารถค้นหาและสร้างอาวุธจากช่องโหว่ zero-click RCE ที่ร้ายแรงได้ในเวลาไม่ถึง 24 ชั่วโมงด้วยพรอมต์ไม่ถึง 20 ครั้ง แต่รอบการออกแพตช์ของผู้ผลิต — ถึงแม้จะรวดเร็ว — ก็ยังต้องใช้เวลาหลายวันถึงหลายสัปดาห์ในการพัฒนา ทดสอบ และปรับใช้ในทุกแพลตฟอร์ม

การเข้าถึงการโจมตีขั้นสูงในวงกว้าง: ในอดีต การทำงานแบบนี้อาจต้องใช้เวลาเป็นเดือนและเงินหลายล้านดอลลาร์ของหน่วยงานระดับรัฐ AI ทำให้ทุกคนที่สามารถเข้าถึงโมเดล AI ชั้นนำสามารถทำได้

การขยายผลแบบ Zero-Click: เนื่องจากการโจมตีไม่จำเป็นต้องมีการโต้ตอบจากผู้ใช้ จึงสามารถเลี่ยงระบบป้องกันระดับผู้ใช้ส่วนใหญ่ได้ และโยนภาระทั้งหมดไปที่การจัดการ Patch และการควบคุมระดับเครือข่าย

การบีบอัดกรอบเวลา Patch: ช่องว่างระหว่างการค้นพบช่องโหว่ (โดยนักวิจัยหรือผู้โจมตี) และการออกแพตช์กำลังหดตัวเข้าใกล้ศูนย์ องค์กรที่ไม่สามารถอัปเดต Zoom ได้ภายในไม่กี่ชั่วโมง — เช่น สภาพแวดล้อมที่ตัดขาดจากอินเทอร์เน็ต (air-gapped) อุตสาหกรรมที่มีกฎระเบียบเข้มงวด หรือองค์กรขนาดใหญ่ที่มีคณะกรรมการควบคุมการเปลี่ยนแปลง — จะยิ่งมีความเสี่ยงมากขึ้น

ความกังวลในห่วงโซ่อุปทาน: ช่องโหว่นี้อยู่ในโปรโตคอล annotation ที่เป็นกรรมสิทธิ์ของ Zoom ซึ่งมีอยู่ในทุก Client ผู้โจมตีที่ใช้ AI ช่วยสามารถประนีประนอมผู้เข้าร่วมทุกคนในการประชุมเดียวอย่างเงียบเชียบ — เปลี่ยนเครื่องมือการทำงานร่วมกันให้เป็นพาหนะในการติดตั้งมัลแวร์ในวงกว้าง

Zoomsday เป็นข้อพิสูจน์อันชัดเจนว่า AI ได้เปลี่ยนแปลงความเร็วของการค้นหาช่องโหว่ไปอย่างสิ้นเชิง วงการความปลอดภัยต้องเผชิญกับความจริงใหม่: ผู้โจมตีได้นำ AI มาใช้แล้ว แต่รอบการออก Patch ยังคงตามไม่ทัน