Falha no Zoom permitia sequestro com zero clique: veja o que fazer

Imagine participar de uma reunião no Zoom e, sem clicar em nada, ter seu computador controlado por outro participante. Pois era exatamente isso que uma falha recém-descoberta permitia. Pesquisadores da startup de segurança ofensiva A Security revelaram vulnerabilidades críticas na ferramenta de anotação do Zoom que possibilitavam o sequestro do cliente de outro usuário durante uma chamada. O pior: a vítima não precisava fazer absolutamente nada além de estar na reunião.

O problema estava na forma como o aplicativo processava desenhos e textos feitos na tela compartilhada. Um invasor podia enviar uma anotação maliciosa que explorava falhas de memória, como estouro de buffer e uso após liberação, para executar código arbitrário no dispositivo do alvo. As falhas, identificadas como CVE-2026-53413, CVE-2026-53414 e CVE-2026-53415, afetavam todas as plataformas suportadas: Windows, macOS, Linux, iOS e Android.

A Zoom já lançou correções em junho e julho de 2026, cerca de dois meses antes da divulgação pública. As versões seguras incluem o Zoom Workplace 7.1.5 e 7.0.6, o Zoom Workplace VDI Client 7.0.11 e 6.6.16, e o Zoom Rooms e Meeting SDK 7.1.0 (ou 7.1.5 para a terceira falha). Se você usa Zoom, atualize imediatamente — não há relatos de exploração ativa, mas a janela de oportunidade para criminosos está aberta.

Como a falha funcionava: um ataque de zero clique

O vetor de ataque era assustadoramente simples. Durante uma reunião, qualquer participante podia usar a ferramenta de anotação para desenhar sobre a tela compartilhada. O aplicativo transformava esses rabiscos em objetos estruturados e os enviava pela rede. O problema é que o receptor confiava cegamente nos campos de contagem desses objetos para decidir quantos bytes ler.

Um invasor podia enviar uma anotação com contagens exageradas, causando um estouro de buffer: os dados ultrapassavam o espaço alocado e sobrescreviam o endereço de retorno na pilha. Com isso, o controle do programa era desviado para código malicioso. Outra falha permitia leitura de memória não inicializada, vazando ponteiros e endereços que neutralizavam a proteção de aleatorização de endereços (ASLR).

O mais grave: não havia verificação de origem da mensagem. O despachante do Zoom lia o tipo da mensagem e a entregava ao parser correspondente sem checar se o remetente era o apresentador ou um espectador. Assim, qualquer participante podia enviar anotações maliciosas para todos os outros, inclusive para quem estava compartilhando a tela. Era um ataque bidirecional: quem assistia podia atacar o apresentador, e o apresentador podia atacar todos os espectadores.

Por que isso importa para você e sua empresa

O Zoom é usado por milhões de pessoas para trabalho remoto, aulas online, consultas médicas e reuniões familiares. Uma falha de zero clique em uma plataforma tão onipresente é um prato cheio para cibercriminosos. Imagine um invasor entrando em uma reunião corporativa (mesmo sem ser convidado, se o link vazou) e assumindo o controle do computador do CEO. Ou um aluno sequestrando o notebook do professor durante uma aula virtual.

Os pesquisadores da A Security classificaram as três vulnerabilidades com CVSS 9.0 (crítico), enquanto a Zoom atribuiu notas mais baixas (8.3, 6.5 e 8.3). A discrepância se deve a diferentes interpretações sobre a necessidade de interação do usuário. Mas, na prática, a vítima não precisa interagir: basta estar na chamada. A Zoom afirma que não há evidências de exploração ativa, mas a divulgação pública das falhas aumenta o risco de ataques imitadores.

Além disso, a pesquisa destaca um alerta perturbador: os pesquisadores usaram modelos de IA públicos para acelerar a descoberta e o desenvolvimento do exploit. Segundo a A Security, foram necessários menos de 20 prompts para ir da falha ao exploit funcional. Isso derruba a barreira de entrada para ataques sofisticados, tornando-os acessíveis até para criminosos sem conhecimento profundo de engenharia reversa.

O elo com o vazamento de senhas reutilizadas

Essa falha do Zoom não existe isolada. Ela se conecta a um problema crônico de segurança digital: a reutilização de senhas. Muitas pessoas usam a mesma senha para o Zoom, e-mail, redes sociais e serviços bancários. Se um invasor explora uma vulnerabilidade como essa e obtém acesso ao seu computador, ele pode instalar um keylogger ou roubar cookies de sessão. Em pouco tempo, suas credenciais podem ser coletadas e testadas em outros serviços.

Pior: se sua senha já vazou em algum banco de dados público (como os milhões de credenciais expostos em breaches anteriores), os criminosos podem usar ataques de força bruta ou credential stuffing para invadir suas contas. A falha do Zoom é apenas uma porta de entrada; a reutilização de senhas transforma um incidente local em uma catástrofe digital.

Por isso, é essencial adotar senhas únicas e fortes para cada serviço, de preferência com um gerenciador de senhas. Ative a autenticação de dois fatores (2FA) em todas as contas, especialmente no Zoom e no e-mail. E monitore regularmente se suas credenciais apareceram em vazamentos — serviços de monitoramento de identidade podem alertar você antes que o estrago seja feito.

O que fazer agora: ações imediatas de proteção

Não espere ser a próxima vítima. Siga estas recomendações para mitigar os riscos:

• Atualize o Zoom imediatamente para a versão mais recente em todos os dispositivos (desktop e mobile). Verifique também plugins e clientes VDI.
• Revise as configurações de reunião: desative a ferramenta de anotação para participantes não confiáveis, se possível. Use salas de espera e senhas fortes para reuniões.
• Eduque sua equipe: instrua colaboradores a não aceitar convites de reunião suspeitos e a relatar qualquer comportamento estranho durante chamadas.
• Fortaleça suas credenciais: troque senhas reutilizadas e ative 2FA em todas as contas críticas.
• Monitore vazamentos: use serviços de monitoramento de identidade digital para saber se suas informações já foram expostas.

Lembre-se: a falha do Zoom foi corrigida, mas a superfície de ataque em ferramentas de colaboração continua enorme. Novas vulnerabilidades surgem semanalmente. Manter-se atualizado e vigilante é a única defesa eficaz.

Comparativo das vulnerabilidades do Zoom

Fonte: A Security e boletins de segurança da Zoom (ZSB-26015, ZSB-26016, ZSB-26017).

FAQ: Perguntas frequentes sobre a falha do Zoom

1. A falha do Zoom ainda está ativa?

Não. A Zoom lançou correções em junho e julho de 2026. Se você atualizou o aplicativo para as versões mencionadas, está protegido. Caso contrário, atualize agora.

2. Como saber se fui vítima desse ataque?

Não há sinais visíveis do ataque, pois ele ocorre silenciosamente. Se você usou uma versão vulnerável do Zoom em reuniões com estranhos, faça uma varredura com antivírus e monitore atividades suspeitas no sistema.

3. A falha afeta apenas o Zoom ou outras plataformas de videoconferência?

As vulnerabilidades são específicas do Zoom. No entanto, outras plataformas podem ter falhas semelhantes. Mantenha todos os softwares de comunicação atualizados.

4. O que é um ataque de zero clique?

É um ataque que não requer nenhuma ação da vítima, como clicar em um link ou baixar um arquivo. Basta estar no ambiente vulnerável (neste caso, uma reunião Zoom) para ser comprometido.

5. Como a reutilização de senhas aumenta o risco nesse cenário?

Se o invasor consegue executar código no seu PC, ele pode roubar senhas armazenadas ou capturar digitação. Se você reutiliza senhas, o invasor pode acessar outros serviços, ampliando o dano.

6. O que a Kzarka pode fazer por mim?

A Kzarka monitora continuamente a internet em busca de vazamentos de dados e exposição de credenciais. Se suas informações aparecerem em fóruns ou bancos de dados ilegais, você recebe um alerta imediato para agir antes que os criminosos usem seus dados. Acesse a Kzarka agora e verifique gratuitamente se seus dados já vazaram.

Não seja a próxima vítima. Atualize seu Zoom, fortaleça suas senhas e monitore sua identidade digital com a Kzarka. A segurança começa com informação e ação imediata.