Uma vulnerabilidade grave no Zoom permitia que um participante de uma videochamada assumisse o controlo do dispositivo de outra pessoa sem que a vítima precisasse de clicar em nada ou sequer percebesse que estava a ser atacada.
A falha, identificada pela empresa de cibersegurança A Security e batizada de Zoomsday, afetava o Zoom em todas as plataformas suportadas, incluindo Windows, macOS, Linux, Android e iOS, conforme reportou o site Security Week.
O problema já foi corrigido pela Zoom, tanto nos seus servidores como através de novas versões das aplicações.
Ataque não exigia qualquer ação da vítima
A vulnerabilidade mais grave recebeu a identificação CVE-2026-53413 e estava relacionada com a ferramenta de anotações utilizada durante as reuniões.
Esta funcionalidade permite adicionar elementos sobre um conteúdo partilhado no Zoom e utiliza um protocolo próprio da plataforma para comunicar entre os participantes.
Segundo a A Security, cada aplicação do Zoom processava automaticamente as informações recebidas durante uma reunião. Um atacante poderia aproveitar este comportamento para enviar uma mensagem especialmente preparada e provocar uma falha na memória do programa.
Isto permitia realizar aquilo que em cibersegurança é chamado de execução remota de código (RCE). Em termos simples, significa conseguir executar comandos ou programas no dispositivo de outra pessoa à distância.
O mais preocupante é que se tratava de um ataque “zero-click”, ou seja, a vítima não precisava de abrir um ficheiro, carregar num link ou aceitar qualquer pedido.
Um criminoso poderia entrar ou organizar uma reunião, escolher um dos participantes e tentar comprometer o respetivo computador sem qualquer aviso visual de que algo estava a acontecer.
Falha poderia abrir caminho para ataques dentro de empresas
As consequências poderiam ir além do computador inicialmente afetado. Como relatou o Phone Arena, o cofundador da A Security, Omer Gull, explicou que um atacante poderia assumir o controlo do dispositivo de um funcionário, obter as suas credenciais e depois tentar utilizá-las para aceder a outros sistemas da mesma empresa.
Os investigadores encontraram ainda a CVE-2026-53414, que poderia ser utilizada para provocar um ataque de negação de serviço (DoS). Neste tipo de ataque, o objetivo é fazer com que um programa deixe de funcionar ou fique indisponível.
Outra vulnerabilidade, identificada como CVE-2026-53415, também afetava a função de anotações, embora a Zoom já tivesse detetado este problema quando foi reportado pela A Security.
Atualizar o Zoom é essencial para ficar protegido
A Zoom já disponibilizou correções para estas vulnerabilidades. As versões 7.1.5 e 7.0.6 do Zoom Workplace, além da versão 7.1.5 do Zoom Rooms e do Meeting SDK, incluem as correções para as três falhas relacionadas com as anotações.
A empresa também lançou atualizações específicas para o Workplace VDI Client e os respetivos plugins, corrigindo uma quarta vulnerabilidade que poderia permitir a divulgação de informações.
Por isso, quem utiliza o Zoom deve manter a aplicação atualizada para a versão mais recente disponível, especialmente porque a vulnerabilidade permitia realizar um ataque sem qualquer interação da vítima.
Outro detalhe que chama a atenção está na forma como a falha foi encontrada. Segundo a A Security, os investigadores conseguiram reproduzi-la em junho utilizando menos de 20 comandos num modelo de inteligência artificial disponível publicamente.
De acordo com a empresa, antes da existência destas ferramentas de IA, encontrar uma vulnerabilidade deste nível poderia exigir vários meses de trabalho de uma equipa especializada.
Vê também: Esta app grátis transforma qualquer telemóvel numa webcam em poucos minutos
