Zoom ha parcheado tres vulnerabilidades encadenadas que permitían ejecutar código en el equipo de cualquier participante de una reunión sin que este hiciera nada. Lo llamativo no es el fallo, es el coste de encontrarlo: los investigadores de Ⓐ Security montaron el exploit en menos de 24 horas con menos de 20 prompts contra modelos de IA de acceso público.
Puntos clave
- La cadena, bautizada ZOOMSDAY, encadena CVE-2026-53413, CVE-2026-53414 y CVE-2026-53415, las tres en la función de anotaciones de Zoom.
- Es zero-click: basta con estar en una reunión donde el atacante también esté. Las anotaciones están siempre activas y las versiones vulnerables no validaban el rol del emisor.
- Afectaba a todas las versiones hasta la 7.0.5 en Windows, macOS, iOS, Android y Linux, a través de la biblioteca `libannotate.so`.
- Zoom corrigió dos de los fallos en la versión 7.1.0 del 22 de junio y el tercero en la 7.1.5 del 20 de julio. La divulgación pública fue el 11 de agosto.
Qué hacía cada fallo
El primero, CVE-2026-53413, es una copia de búfer sin límites en `CAnnoFormatBlock::Deserialize`. El receptor se creía el contador de caracteres que venía por la red sin comprobarlo, y con eso se desbordaba memoria adyacente.
El segundo, CVE-2026-53414, es una sobrelectura: el receptor reservaba memoria según un contador de la red pero la rellenaba con los datos reales del paquete, y devolvía trozos de heap sin inicializar. Ahí es donde salían punteros a código y el material para saltarse ASLR, la protección que coloca la memoria en direcciones aleatorias precisamente para que un atacante no sepa dónde escribir.
El tercero, CVE-2026-53415, en el parseo de metadatos de auto-formas, daba una primitiva de escritura arbitraria: punteros controlados por el atacante dentro de una lista enlazada, sin validación.
Encadenados, el ataque consiste en enviar un paquete de anotación malformado con un contador de caracteres inflado. El cliente de la víctima lo deserializa solo. En macOS sobre arm64 eso permitía sobrescribir la dirección de retorno y ejecutar código. En Android hacía falta modelar el heap primero, colocando objetos a propósito para que los datos controlados cayeran justo al lado del desbordamiento.
Las 20 preguntas
El detalle que convierte esto en noticia de IA está en la metodología. Los investigadores describen menos de veinte prompts contra modelos públicos, repartidos en cinco tareas: mapear la superficie de ataque entre 121 bibliotecas nativas, aplicar ingeniería inversa al protocolo de anotaciones, localizar el fallo en los deserializadores, construir y entregar el paquete malicioso y encontrar los gadgets para ejecutar código en cada plataforma.
Del descubrimiento del 8 de junio a la confirmación de ejecución remota en todas las plataformas pasó un día. El 10 de junio estaba reportado a Zoom y el 11 lo acusaba recibo. Idan Levcovich, investigador sénior de vulnerabilidades en Ⓐ Security, lideró el trabajo; Lidor Elias identificó y trió el tercer CVE.
Esa cronología es el dato de verdad. Encontrar un zero-click en una aplicación con cientos de millones de usuarios era un trabajo de meses para un equipo especializado. Aquí fueron horas, y la parte cara (leer 121 bibliotecas nativas buscando dónde se confía en un contador que viene de fuera) es exactamente el tipo de tarea aburrida y masiva en la que un modelo rinde. No es que la IA sepa hackear mejor que un humano. Es que hace en una tarde el rastreo que a un humano le llevaba semanas, y eso cambia la aritmética de quién puede permitírselo. Encaja con lo que ya venía midiendo CrowdStrike sobre la ventana de explotación.
El agujero que deja el parche de servidor
Zoom respondió rápido y publicó el arreglo antes de la divulgación, según los propios investigadores. Además del parche de cliente desplegó el 15 de julio un filtro en servidor para tapar a quien no pueda actualizar de inmediato.
Ese filtro tiene una excepción que conviene conocer: no funciona en reuniones con cifrado de extremo a extremo. Un servidor no puede inspeccionar lo que no puede leer. Es la contrapartida honesta del cifrado, y significa que las reuniones más protegidas por diseño son justo las que dependen por completo de que el cliente esté actualizado.
Por qué importa
Acción concreta para hoy: comprueba en qué versión de Zoom está tu equipo. Si alguien sigue por debajo de la 7.1.5, actualiza, y con prioridad si usáis cifrado de extremo a extremo para comités o consejos. La actualización de escritorio no siempre es automática en equipos gestionados.
El resto es una lectura de fondo para cualquiera que dirija una empresa. El coste de encontrar fallos graves en software de uso masivo acaba de bajar mucho, y baja igual para quien defiende que para quien ataca. La conclusión práctica no es dejar de usar Zoom, es asumir que la ventana entre "existe el fallo" y "hay exploit funcionando" se mide ya en horas. Un parcheo mensual deja de ser una política razonable.
Relacionado
