Chyby „Zoomsday“ umožňují účastníkům videohovoru napadnout zařízení ostatních bez jediného kliknutí

Bezpečnostní výzkumníci ze společnosti A.Security zveřejnili sadu zranitelností v anotačním modulu Zoomu, nazvanou „Zoomsday“, které umožňují škodlivému účastníkovi videohovoru napadnout zařízení jiného účastníka bez jakéhokoli kliknutí, stažení souboru nebo potvrzení. Stačilo být připojen do stejné schůzky.

Chyby — CVE-2026-53413, CVE-2026-53414 a CVE-2026-53415 — vznikají tím, že parser anotací důvěřoval hodnotám délky a počtu přijatým po síti, aniž by je ověřoval proti pevně velkým bufferům. Výzkumník předvedl skutečné spuštění kódu na macOS tím, že na cizím počítači potichu spustil prohlížeč Safari, aniž by bylo cokoli vidět. Chyby postihují Zoom Workplace, Zoom Rooms a Meeting SDK na Windows, macOS, Linuxu, iOS i Androidu.

Výzkumníci ohodnotili chyby jako kritické, zatímco Zoom tu nejzávažnější označil jen za vysoce závažnou s tím, že zneužití stále vyžaduje, aby útočník byl přítomen na schůzce. Zoom vydal opravy 11. srpna ve verzích Workplace 7.1.5 a 7.0.6, Zoom Rooms 7.1.5, Meeting SDK 7.1.5 a odpovídajících aktualizacích VDI klienta a pluginu. Podle Zoomu nebyly zaznamenány žádné důkazy o aktivním zneužití.