Una vulnerabilità potrebbe permettere a un utente Zoom di attaccare un altro

I ricercatori di A Security hanno scoperto una vulnerabilità che permette a un utente su Zoom di attaccarne un altro. Si tratta di una vulnerabilità critica, secondo quanto riportato dal comunicato stampa ufficiale pubblicato recentemente. La situazione è preoccupante perché questa piattaforma è utilizzata da molte aziende, organizzazioni e utenti privati.

“Nessun clic, nessun download e nulla richiesto alla vittima se non la presenza alla riunione“, ha spiegato Idan Levcovich, ricercatore senior in materia di vulnerabilità. “La vulnerabilità è presente in ogni versione di Zoom su ogni dispositivo e sistema operativo: Windows, Mac, iPhone, Android e Linux“. Il rischio rimane attivo in tutte le versioni fino alla 7.0.5 inclusa.

Come funziona la vulnerabilità di Zoom

“La vulnerabilità è un bug di corruzione della memoria che sfrutta la funzionalità di annotazione di Zoom“, ha precisato Levcovich. “L’annotazione di Zoom si basa su un protocollo proprietario, ovvero un codice chiuso privo di documentazione o specifiche pubbliche“.

I ricercatori sono riusciti a sfruttare il fatto che ogni client Zoom analizza automaticamente tutto ciò che riceve, inviando un messaggio appositamente creato per corrompere la memoria del client ricevente ed eseguire del codice al suo interno. Il protocollo apre un canale diretto tra uno spettatore e un partecipante alla condivisione, consentendo all’attaccante di prendere di mira ciascun partecipante individualmente.

Le vulnerabilità sono state identificate come:

• CVE-2026-53413
  La mancanza di un controllo dei limiti nella funzione di annotazione dei client Zoom consente la sovrascrittura del buffer, il che potrebbe permettere a un partecipante alla riunione di eseguire codice remoto di un altro partecipante tramite accesso alla rete.
• CVE-2026-53414
  La mancanza di un controllo dei limiti nella funzione di annotazione dei client Zoom consente la lettura eccessiva del buffer, che potrebbe permettere a un partecipante alla riunione di effettuare un attacco denial of service contro un altro partecipante tramite accesso alla rete.
• CVE-2026-53415
  L’utilizzo della funzione “Use after Free” nella funzione di annotazione dei client Zoom potrebbe consentire a un partecipante alla riunione di eseguire in remoto il codice di un altro partecipante tramite accesso alla rete.

Per rimanere al sicuro devi assolutamente aggiornare Zoom all’ultima versione che corregge le vulnerabilità recentemente individuate e che mettono in pericolo gli utenti. Per maggiori informazioni consulta il bollettino di sicurezza pubblicato da Zoom. Ricordati anche di aggiornare Windows all’ultima versione per correggere 421 vulnerabilità.