AI 不到一天就挖出 Zoom 致命漏洞：零點擊、全平台淪陷，資安業界拉警報

• 根本原因： Zoom 用戶端程式的註解器功能中，缺少邊界檢查，導致緩衝區覆寫。 具體來說，Zoom 在處理文字註解反序列化時，配置了四個固定的 128 位元組緩衝區，卻沒有正確驗證輸入長度，因而引發溢出。
• 攻擊向量： 已身處會議中的攻擊者（在啟用註解功能的螢幕共享期間），可以默默地在另一位與會者的裝置上執行程式碼——受害者完全不用點擊任何東西。
• 嚴重性評分： 在 CVSS v4.0 標準下為 9.0（重大），在 v3.x 標準下則高達 9.8。 Zoom 自家的安全公告將其分類為「高」嚴重性。
• 同批修補的相關 CVE： CVE-2026-53414（權限提升）與 CVE-2026-53415（註解引擎中的第二個零點擊 RCE 漏洞）。

AI 如何在 24 小時內發現 Zoomsday？

自主進攻安全公司 A Security 的研究人員，使用了市面上公開的前沿 AI 模型來發現並武器化這個漏洞。

• 開發漏洞利用程式時間： 不到 24 小時。
• 提示詞數量： 在公開 AI 模型上，使用了不到 20 個提示詞。
• 過程： AI 分析了 Zoom 的註解反序列化邏輯，找到了缺少的邊界檢查，並產生了可用的漏洞利用鏈——完全不需要人類手動逆向工程二進位檔。 A Security 資深漏洞研究員 Idan Levcovich 向 SC Media 表示，團隊特別使用了 Anthropic 的 Claude Opus 4.7 和 Opus 4.8 模型。
• 發現時間軸： 漏洞於 2026 年 6 月 8 日被發現，隔天就確認了針對 Zoom 7.0.5 版本的有效漏洞利用程式。研究成果於 6 月 10 日私下通報給 Zoom。

哪些平台與版本受到影響？

此漏洞影響了所有主要平台上的所有原生 Zoom 用戶端。

Windows 版 Zoom Rooms 在特定版本更新前也受到影響。 Zoom 被約 70% 的《財星》100 大企業使用，使得這個漏洞的潛在影響範圍非常廣泛。

何時完成修補？

Zoom 在 2026 年 8 月 11 日發布了安全公告 (ZSB-26015) 並推出了修補程式。 用戶端的修補程式實際上早在 6 月和 7 月就已釋出，比漏洞公開約早了兩個月。截至報導發布時，尚未有任何漏洞遭利用的通報。

此漏洞存在於 7.0.5 及之前的版本中。 所有平台的修補版本分別為 Zoom 用戶端 7.1.5 與 7.0.6。Zoom Rooms 和 Zoom Meeting SDK 則需要 7.1.0 或更新版本。

更深遠的影響：AI 加速發現 vs. 跟不上腳步的修補管理

Zoomsday 的揭露在資安產業引發了極大的關注。 研究人員形容這是一記「警鐘」——如果前沿 AI 模型可以善意地發現並武器化重大漏洞，那麼威脅分子也能以同樣的速度惡意為之。

• 速度不對等： AI 可以在 24 小時內、用不到 20 個提示詞找到並武器化一個零點擊 RCE 漏洞。但即便廠商反應再快，開發、測試並在所有平台部署修補程式也需要數天到數週的時間。
• 進階攻擊手法普及化： 過去，這樣的工作可能需要一個國家級的駭客組織耗費數月時間與數百萬美元。但現在，AI 讓任何能取得前沿模型的人都能做到。
• 零點擊威脅放大： 由於漏洞利用不需要使用者互動，這使得它繞過了大多數使用者層級的防禦，將所有壓力都轉嫁到了修補管理和網路層級的管控上。
• 修補空窗期被壓縮： 從漏洞被發現（無論是研究人員或攻擊者）到修補程式釋出之間的時間差正在趨近於零。那些無法在數小時內更新 Zoom 的組織——例如氣隙網路環境、受監管行業或設有變更控制委員會的大型企業——所面臨的風險越來越高。
• 供應鏈安全隱憂： 這個漏洞存在於 Zoom 專有的註解協定中，而該協定存在於每一個用戶端。一個借助 AI 的攻擊者可以在一場會議中默默入侵所有與會者——將協作工具變成大規模部署惡意程式的載體。

Zoomsday 事件強烈地展現了 AI 從根本上改變了漏洞發現的速度。資安產業現在必須正視一個新現實：攻擊者早已開始採用 AI，而修補週期卻遠遠跟不上。