Falha no Zoom mostra como a IA facilita ataques a chamadas de vídeo
Pesquisadores da empresa de defesa digital A Security identificaram falhas críticas no protocolo de anotação usado durante o compartilhamento de tela do Zoom. Segundo o relatório técnico, um participante malicioso poderia enviar dados especialmente criados durante uma chamada e assumir o controle do dispositivo sem exigir um clique da vítima.
O ataque não aconteceria apenas por receber um convite. O cenário descrito envolve a participação em uma chamada com compartilhamento de tela e um participante malicioso capaz de enviar o conteúdo explorado pelo recurso de anotações. Ainda assim, o caso mostra como uma interação cotidiana pode se transformar em um risco de segurança.
Menos de 20 comandos reduziram a barreira de entrada. Usando modelos de inteligência artificial disponíveis publicamente, os pesquisadores afirmam ter encontrado as brechas e criado um ataque funcional em menos de 20 prompts. Isso não significa que qualquer pessoa consiga repetir o ataque automaticamente, mas indica que a IA está acelerando tarefas que antes exigiam equipes especializadas e longos ciclos de investigação.
As falhas foram descobertas no início de junho de 2026 e receberam os identificadores CVE-2026-53413, CVE-2026-53414 e CVE-2026-53415. A Security afirma que elas foram reportadas à Zoom e que a empresa implantou correções antes da publicação do relatório.
O componente vulnerável fica dentro do aplicativo. O protocolo de anotação é processado pelo código nativo dos clientes Zoom, o que significa que o problema alcançava Windows, macOS, Linux, iOS e Android. De acordo com o relatório técnico, as versões até e incluindo a 7.0.5 estavam entre as afetadas.
Em termos simples, o aplicativo recebia e interpretava mensagens usadas para desenhar anotações na tela. Uma mensagem manipulada poderia provocar um overflow, situação em que os dados ultrapassam o espaço previsto na memória. Segundo os pesquisadores, isso poderia permitir a execução de código e a tomada do dispositivo, dependendo das condições do sistema e do ataque.
Por que o fator confiança importa. Entrar em uma reunião costuma parecer uma ação segura, especialmente em webinars, aulas e encontros de trabalho. Esse comportamento previsível pode ser explorado por um participante malicioso. O risco inclui o comprometimento do computador ou celular e, em um ambiente corporativo, o possível roubo de credenciais e avanço para outros sistemas da organização.
A Zoom publicou boletins de segurança e atualizações de cliente na linha 7.1.x em julho de 2026. O relatório da A Security recomenda as versões corrigidas Zoom Workplace 7.1.5 e 7.0.6. Como a versão pode variar conforme o cliente e a plataforma, confirme a indicação correspondente no boletim oficial de segurança da Zoom e nas notas de versão antes de atualizar.
1. Atualize o Zoom antes da próxima chamada. Verifique a versão instalada em cada computador e celular usado para reuniões. Instale uma versão corrigida, como o Zoom Workplace 7.1.5 ou 7.0.6, conforme a orientação oficial para o seu cliente.
2. Desative as anotações quando elas não forem necessárias. Essa medida reduz a superfície de ataque enquanto o aplicativo não puder ser atualizado. Ela é especialmente útil em reuniões nas quais ninguém precisa desenhar ou marcar a tela.
3. Restrinja quem pode compartilhar e anotar. Sempre que possível, permita essas funções apenas ao anfitrião ou a participantes autenticados. O objetivo é limitar quem consegue enviar conteúdo para os recursos de compartilhamento de tela.
4. Controle a entrada nas reuniões. Use a sala de espera e exija registro quando fizer sentido para o evento. Essas ferramentas não substituem a atualização do aplicativo, mas ajudam a reduzir a chance de uma pessoa desconhecida entrar em uma chamada sem aviso.
O ganho para você é simples: menos confiança automática. A descoberta não significa que toda chamada do Zoom seja perigosa. Ela mostra que participar de uma reunião, principalmente com compartilhamento de tela, pode oferecer uma oportunidade técnica para um atacante. Atualizar o aplicativo, controlar os participantes e limitar permissões são decisões rápidas que protegem seus dados e suas credenciais enquanto a busca de vulnerabilidades com IA se torna mais acessível. Leia também: Agentes de IA invadiram sites durante testes. Saiba como proteger seus dados.
