O Zoom corrigiu quatro vulnerabilidades que podem permitir ataques contra participantes de reuniões, incluindo falhas capazes de levar à execução remota de código sem qualquer clique da vítima. Os problemas foram divulgados em 11 de agosto de 2026.
A mais grave no contexto dos ataques, CVE-2026-53413, recebeu nota 8,3 e foi apelidada de Zoomsday. A falha está no recurso de anotações usado para desenhar, destacar ou inserir textos durante o compartilhamento de tela.
O componente responsável pelo processamento dessas informações utiliza buffers fixos de 128 bytes, mas não verifica corretamente o tamanho dos dados recebidos pela rede. Um participante malicioso pode enviar conteúdo maior que o espaço disponível e corromper a memória.
Essa corrupção pode alterar o fluxo de execução do programa e permitir comandos controlados pelo invasor. Pesquisadores demonstraram o ataque no macOS ao fazer o processo do Zoom abrir silenciosamente o Safari na máquina da vítima.
As falhas atingem versões do Zoom Workplace, Zoom Rooms, Meeting SDK e clientes VDI. Para cobrir as vulnerabilidades de anotação, usuários devem migrar para versões corrigidas, como Workplace 7.1.5 ou 7.0.6 e Zoom Rooms e Meeting SDK 7.1.5.
Não há evidências públicas de exploração ativa. Mesmo assim, empresas devem atualizar instalações centralizadas com prioridade, principalmente porque um invasor pode explorar as falhas durante uma reunião sem exigir downloads ou interação adicional da vítima.
