Zoomsday: Lỗ hổng Zoom không cần click nào bị AI phát hiện trong chưa đầy 24 giờ

Vào tháng 8 năm 2026, Zoom đã vá một lỗ hổng bảo mật nghiêm trọng có thể cho phép người tham gia cuộc họp âm thầm chiếm quyền điều khiển thiết bị của tất cả những người tham gia khác — mà không cần click chuột, không có cảnh báo và không có dấu hiệu trực quan nào. Lỗ hổng, được các nhà nghiên cứu đặt tên là 'Zoomsday', đã được phát hiện và khai thác hoàn toàn bằng các mô hình AI công khai trong chưa đầy 24 giờ và với chưa đầy 20 câu lệnh. Việc tiết lộ này đã gây chấn động trong ngành bảo mật, đặt ra những câu hỏi cấp bách về cách các tổ chức có thể bảo vệ trước việc phát hiện lỗ hổng được tăng tốc bởi AI, vốn đã vượt xa chu kỳ vá lỗi của doanh nghiệp.

Lỗ hổng Zoomsday (CVE-2026-53413) là gì?

CVE-2026-53413 là một lỗ hổng thực thi mã từ xa (RCE) zero-click nghiêm trọng nằm trong tính năng chú thích (annotation) của Zoom — công cụ cho phép người tham gia vẽ, tô sáng hoặc gõ văn bản lên màn hình được chia sẻ.

Nguyên nhân gốc rễ: Việc thiếu kiểm tra giới hạn bộ nhớ trong hàm chú thích của ứng dụng Zoom cho phép ghi đè bộ đệm (buffer over-write). Cụ thể, Zoom đã cấp phát bốn bộ đệm cố định 128 byte cho việc giải mã chú thích văn bản nhưng không xác thực độ dài đầu vào, tạo điều kiện cho việc tràn bộ đệm.

Phương thức tấn công: Kẻ tấn công đã có mặt trong cuộc họp (khi đang chia sẻ màn hình với tính năng chú thích được bật) có thể âm thầm thực thi mã trên thiết bị của người tham gia khác — mà không cần nạn nhân click chuột.

Mức độ nghiêm trọng: CVSS 9.0 (Nghiêm trọng) theo CVSS v4.0 và CVSS 9.8 theo v3.x. Bản tin bảo mật của Zoom phân loại đây là mức 'Cao'.

Các CVE liên quan được vá cùng đợt: CVE-2026-53414 (leo thang đặc quyền) và CVE-2026-53415 (lỗi RCE zero-click thứ hai trong cùng công cụ chú thích).

Làm thế nào AI phát hiện ra Zoomsday trong vòng chưa đầy 24 giờ?

Các nhà nghiên cứu tại A Security, một công ty an ninh mạng tấn công tự động, đã sử dụng các mô hình AI tiên tiến công khai để phát hiện và khai thác lỗ hổng này.

• Thời gian khai thác: Chưa đầy 24 giờ.
• Số lượng câu lệnh (prompt): Chưa đầy 20 câu lệnh trên các mô hình AI công khai.
• Quy trình: AI đã phân tích logic giải mã chú thích của Zoom, xác định điểm thiếu kiểm tra giới hạn bộ nhớ và tạo ra một chuỗi khai thác hoạt động — tất cả mà không cần con người đảo ngược kỹ thuật (reverse-engineer) mã nhị phân. Nhà nghiên cứu lỗ hổng cấp cao của A Security, Idan Levcovich, chia sẻ với SC Media rằng nhóm đã làm việc cụ thể với các mô hình Anthropic's Claude Opus 4.7 và Opus 4.8.
• Mốc thời gian phát hiện: Các lỗ hổng được phát hiện vào ngày 8 tháng 6 năm 2026, với mã khai thác hoạt động trên Zoom 7.0.5 được xác nhận vào ngày hôm sau. Kết quả được báo cáo riêng cho Zoom vào ngày 10 tháng 6.

Nền tảng và phiên bản nào bị ảnh hưởng?

Lỗ hổng ảnh hưởng đến tất cả ứng dụng Zoom gốc trên mọi nền tảng chính.

Nền tảng	Phiên bản bị ảnh hưởng	Phiên bản đã vá
Windows	Trước 7.1.5 và 7.0.6	7.1.5 / 7.0.6
macOS	Trước 7.1.5 và 7.0.6	7.1.5 / 7.0.6
iOS	Trước 7.1.5 và 7.0.6	7.1.5 / 7.0.6
Android	Trước 7.1.5 và 7.0.6	7.1.5 / 7.0.6
Linux	Trước 7.1.5 và 7.0.6	7.1.5 / 7.0.6

Zoom Rooms cho Windows cũng bị ảnh hưởng trước các bản cập nhật phiên bản cụ thể. Zoom được khoảng 70% các công ty trong Fortune 100 sử dụng, khiến lỗ hổng này có phạm vi ảnh hưởng rất lớn.

Lỗ hổng này đã được vá khi nào?

Zoom đã công bố bản tin bảo mật (ZSB-26015) và tung ra các bản vá vào ngày 11 tháng 8 năm 2026. Các bản sửa lỗi cho ứng dụng khách thực tế đã được phát hành vào tháng 6 và tháng 7, khoảng hai tháng trước khi lỗ hổng được công bố rộng rãi. Cho đến thời điểm công bố, chưa có vụ khai thác nào được báo cáo.

Lỗ hổng tồn tại trong tất cả các phiên bản lên đến và bao gồm 7.0.5. Các phiên bản đã vá là Zoom client 7.1.5 và 7.0.6 cho tất cả các nền tảng. Zoom Rooms và Zoom Meeting SDK yêu cầu phiên bản 7.1.0 trở lên.

Hệ lụy rộng hơn: Phát hiện lỗ hổng bằng AI vượt xa quản lý vá lỗi

Việc tiết lộ lỗ hổng Zoomsday đã gây ra mối quan ngại đáng kể trong ngành an ninh mạng. Các nhà nghiên cứu mô tả đây là một 'lời cảnh báo' — nếu các mô hình AI tiên tiến có thể tìm và khai thác các lỗ hổng nghiêm trọng một cách vô hại, thì các tác nhân đe dọa hoàn toàn có thể làm điều tương tự với tốc độ tương tự.

Chênh lệch tốc độ: AI có thể tìm và khai thác một lỗ hổng RCE zero-click nghiêm trọng trong vòng chưa đầy 24 giờ với chưa đầy 20 câu lệnh, nhưng chu kỳ vá lỗi của nhà cung cấp — dù nhanh đến đâu — cũng mất vài ngày đến vài tuần để phát triển, kiểm thử và triển khai trên tất cả các nền tảng.

Dân chủ hóa khai thác nâng cao: Trong quá khứ, công việc như thế này có thể khiến một quốc gia mất nhiều tháng và hàng triệu đô la. AI khiến nó trở nên dễ tiếp cận với bất kỳ ai có quyền truy cập vào một mô hình AI tiên tiến.

Khuếch đại zero-click: Vì việc khai thác không yêu cầu bất kỳ tương tác nào từ người dùng, nó vượt qua hầu hết các biện pháp phòng thủ ở cấp độ người dùng và đặt toàn bộ gánh nặng lên việc quản lý vá lỗi và các biện pháp kiểm soát ở cấp độ mạng.

Thu hẹp cửa sổ vá lỗi: Khoảng cách giữa thời điểm lỗ hổng được phát hiện (bởi nhà nghiên cứu hoặc kẻ tấn công) và khi bản vá có sẵn đang thu hẹp về không. Các tổ chức không thể cập nhật Zoom trong vòng vài giờ — chẳng hạn như môi trường cách ly (air-gapped), các ngành được quản lý chặt chẽ, hoặc các doanh nghiệp lớn với quy trình kiểm soát thay đổi — đang ngày càng gặp rủi ro.

Mối lo ngại về chuỗi cung ứng: Lỗ hổng nằm trong giao thức chú thích độc quyền của Zoom, vốn có trên mọi ứng dụng khách. Một kẻ tấn công được AI hỗ trợ có thể âm thầm xâm phạm mọi người tham gia trong một cuộc họp duy nhất — biến các công cụ cộng tác thành vectơ triển khai hàng loạt.

Zoomsday là một minh chứng rõ ràng rằng AI đã thay đổi về cơ bản tốc độ phát hiện lỗ hổng. Ngành an ninh mạng giờ đây phải đối mặt với một thực tế mới: những kẻ tấn công đã áp dụng AI, còn chu kỳ vá lỗi thì chưa.