In questo articolo Indice dei contenuti 3 sezioni
Una vulnerabilità Zoom scoperta dai ricercatori di A Security permette a un partecipante di una riunione di attaccarne un altro, senza che la vittima debba fare assolutamente nulla. Basta essere collegati. Il problema, classificato come critico nel comunicato ufficiale diffuso di recente, riguarda una piattaforma che ormai fa parte della routine quotidiana di aziende, enti pubblici, scuole e privati cittadini, il che rende la questione tutt’altro che marginale.
A spiegare la portata del difetto è stato Idan Levcovich, ricercatore senior in materia di vulnerabilità. Le sue parole sono piuttosto nette: “Nessun clic, nessun download e nulla richiesto alla vittima se non la presenza alla riunione”. E ancora: “La vulnerabilità è presente in ogni versione di Zoom su ogni dispositivo e sistema operativo: Windows, Mac, iPhone, Android e Linux”. Il rischio resta attivo su tutte le versioni fino alla 7.0.5 compresa, senza distinzioni tra piattaforme.
Dove si nasconde il problema: la funzione di annotazione
Il cuore della faccenda sta in un punto che quasi nessuno considera pericoloso, ovvero la funzione di annotazione, quella che consente di disegnare, evidenziare o scrivere sopra uno schermo condiviso durante una call. “La vulnerabilità è un bug di corruzione della memoria che sfrutta la funzionalità di annotazione di Zoom”, ha precisato Levcovich, aggiungendo che “l’annotazione di Zoom si basa su un protocollo proprietario, ovvero un codice chiuso privo di documentazione o specifiche pubbliche”.
Il meccanismo dell’attacco è tanto semplice quanto insidioso. Ogni client Zoom analizza in automatico tutto quello che riceve, senza filtri particolari. I ricercatori hanno quindi costruito un messaggio ad hoc capace di corrompere la memoria del client che lo riceve e di far girare del codice al suo interno. Il protocollo, tra l’altro, apre un canale diretto tra chi guarda e chi condivide, e questo significa che un attaccante può selezionare le proprie vittime una per una, colpendo i singoli partecipanti in modo mirato invece di agire alla cieca sull’intera stanza.
Le tre falle registrate e cosa comportano
Le vulnerabilità individuate sono tre, tutte legate alla stessa funzione. La prima, identificata come CVE-2026-53413, nasce dalla mancanza di un controllo dei limiti nella funzione di annotazione dei client Zoom, che consente la sovrascrittura del buffer. In pratica un partecipante alla riunione potrebbe eseguire codice remoto su un altro partecipante attraverso l’accesso alla rete.
La seconda, CVE-2026-53414, deriva sempre dall’assenza di un controllo dei limiti, ma in questo caso porta a una lettura eccessiva del buffer. Il risultato possibile è un attacco denial of service portato da un partecipante contro un altro, sempre tramite accesso alla rete.
La terza, CVE-2026-53415, sfrutta invece la condizione nota come “Use after Free” all’interno della funzione di annotazione dei client Zoom. Anche qui l’esito potenziale è l’esecuzione da remoto del codice di un altro partecipante alla riunione.
Come proteggersi da questa vulnerabilità Zoom
L’unica difesa concreta è l’aggiornamento. Occorre portare Zoom all’ultima versione disponibile, quella che corregge le falle appena individuate e che mette al riparo dagli scenari descritti dai ricercatori. Per chi volesse approfondire i dettagli tecnici, tutte le informazioni si trovano nel bollettino di sicurezza pubblicato da Zoom.
