Исследователи компании A Security обнаружили несколько уязвимостей в компоненте аннотаций Zoom, который позволяет делать пометки на экране во время демонстрации. По их описанию, участник специально подготовленного звонка мог получить возможность удаленно выполнить код на устройстве другого участника. Это создает риск захвата устройства, но точные условия эксплуатации нужно отличать от громких формулировок о «взломе без клика».
Что изменилось для пользователей Zoom. 11 августа 2026 года Zoom опубликовал три бюллетеня безопасности. В них указаны CVE-2026-53413, CVE-2026-53414 и CVE-2026-53415. В CVE-2026-53413 описана ошибка перезаписи буфера в компоненте annotator, а для нее указан балл CVSS 8.3, то есть высокий уровень серьезности. CVE-2026-53415 связана с ошибкой use-after-free, при которой программа может обратиться к уже освобожденной области памяти. Обе уязвимости, согласно бюллетеням, могут привести к удаленному выполнению кода.
Почему в этой истории важен искусственный интеллект. Уязвимости обнаружили в начале июня с помощью общедоступных моделей ИИ. По словам исследователей, на поиск дефектов и создание рабочего варианта атаки потребовалось менее 20 промптов. Сооснователь A Security Омер Гулл объясняет: раньше для похожей задачи могла понадобиться команда из пяти человек и около полугода работы. Теперь порог входа заметно ниже.
Риск начинается с доверия к звонку. Аннотации кажутся второстепенной функцией, но именно сложные и мало заметные компоненты иногда остаются без достаточной внешней проверки. В исходном описании исследователи говорили о возможности захвата устройства после подключения к Zoom-звонку. СМИ называли эту цепочку «Zoomsday» и использовали термин zero-click, однако это аналитическая интерпретация публикаций. Для читателя практический вывод проще: не стоит считать приглашение в видеозвонок полной гарантией безопасности, особенно если используется демонстрация экрана.
Какие продукты и версии нужно проверить. Бюллетени Zoom указывают следующие затронутые продукты и пороги обновления:
Продукт Затронутые версии и действие Zoom Workplace Версии до 7.1.5 и 7.0.6 в соответствующих ветках. Установите последнюю доступную исправленную версию. Zoom Workplace VDI Client для Windows Версии до 7.0.11 и 6.6.16. Установите исправленную версию. Zoom Rooms Версии ниже 7.1.0. Обновите до версии выше 7.1.0. Zoom Meeting SDK Версии ниже 7.1.0. Обновите до версии выше 7.1.0.
Уязвимость затрагивает поддерживаемые версии Zoom на Windows, macOS, Linux, iOS и Android. Для рабочих устройств администратору стоит проверить не только обычное приложение, но и VDI-клиент, Zoom Rooms и решения на базе Meeting SDK.
1. Сначала установите исправления. Zoom рекомендует применить последние обновления. Проверьте номер версии в приложении или в панели управления организации и сравните его с данными бюллетеней ZSB-26015 и сопутствующих уведомлений. Это самый надежный способ снизить риск для личного компьютера и корпоративной учетной записи.
2. Если обновление пока невозможно, сократите поверхность атаки. Отключите аннотации для участников встречи или оставьте право аннотировать только организатору. Инструкция по управлению этой функцией опубликована в справочном материале Zoom.
3. Относитесь внимательнее к неожиданным звонкам. Не принимайте приглашения от незнакомых людей без необходимости и не воспринимайте сам факт подключения к Zoom как доказательство безопасности. Особенно осторожно подключайтесь к встречам с демонстрацией экрана и не предоставляйте лишние разрешения.
Главный вывод для вас. ИИ уже помогает искать ошибки в закрытом программном обеспечении быстрее и с меньшими ресурсами. Это не означает, что каждый звонок опасен, но доверие к известной платформе больше нельзя считать единственной защитой. Проверьте Zoom сегодня, а до обновления ограничьте аннотации участников. Такая простая привычка защищает ваши данные, учетные данные и рабочие ресурсы от сценариев, которые еще недавно требовали значительно больше времени и специалистов. Подробнее: Visa открывает исходный код системы безопасности ИИ. Вот как это защитит ваши платежи.
