ZOOMSDAY: חולשות ב-Zoom אפשרו להשתלט על מחשב של משתתף בשיחה, בלי שום הקלקה
חוקרי A Security חשפו שרשרת של שלוש חולשות בכלי ההערות של Zoom. משתתף זדוני בפגישה יכול היה להריץ קוד אצל משתתף אחר. Zoom כבר תיקנה, והחוקרים מספרים שמודלי AI עזרו להם לבנות את הניצול בפחות מיממה.
TL;DR בקצרה
- A Security פרסמה ב-11 באוגוסט את ZOOMSDAY: שלוש חולשות ברכיב ההערות (annotation) של Zoom.
- תוקף שמשתתף באותה פגישה יכול להריץ קוד במכשיר של משתתף אחר, בלי שהקורבן לוחץ על כלום.
- Zoom תיקנה בגרסאות 7.1.0 ו-7.1.5. החולשה המרכזית, CVE-2026-53413, קיבלה ציון 8.3.
- לדברי החוקרים, הניצול נבנה בפחות מ-24 שעות ובפחות מ-20 פניות למודלי AI זמינים לציבור.
שרשרת חולשות בשם ZOOMSDAY אפשרה למשתתף זדוני בפגישת Zoom להריץ קוד אצל משתתף אחר. זה כולל גם מחשבים וגם טלפונים. הקורבן לא היה צריך ללחוץ על קישור או לפתוח שום מסמך. מספיק היה שהוא משתתף באותה פגישה. חברת A Security פרסמה את הממצאים ב-11 באוגוסט, ו-Zoom כבר שחררה תיקונים.
מה זה ZOOMSDAY ואיך התקיפה עובדת
הבעיה יושבת בכלי ההערות של Zoom, האפשרות לצייר ולכתוב על מסך משותף. כל הערה כזו מגיעה למשתתפים כהודעה בפרוטוקול פנימי של Zoom. לפי החוקרים, הלקוח קיבל את ההודעות האלה ופענח אותן אוטומטית, בלי לבדוק מי שלח אותן. כך כל משתתף יכול היה לשלוח הודעה זדונית. מי שמשתף מסך יכול אף לכוון אותה למשתתף מסוים.
השרשרת כוללת שלוש חולשות. CVE-2026-53413 היא גלישת חוצץ במנגנון שמפענח הערות טקסט. Zoom דירגה אותה בציון 8.3 מתוך 10, ברמת חומרה גבוהה. CVE-2026-53414 מדליפה מידע מזיכרון המכשיר, וזה עוזר לעקוף מנגנוני הגנה. CVE-2026-53415 מאפשרת לתוקף לכתוב נתונים למיקום שהוא בוחר בזיכרון.
לפי החוקרים, החולשות קיימות בגרסאות עד 7.0.5 של Zoom ב-Windows, macOS, iOS, Android ו-Linux. הם הדגימו ניצול מלא על Mac. תוקף בפגישה יכול לגנוב מידע, להתקין נוזקות ואף להפעיל את המיקרופון או המצלמה. כך לפי האתר eSecurity Planet. בפרסומים לא הופיע דיווח על תקיפות בפועל.
ZOOMSDAY וההצפנה מקצה לקצה
לחולשה השלישית Zoom הוסיפה ב-15 ביולי מסנן בצד השרת. המסנן מסיר הודעות הערה זדוניות לפני שהן מגיעות למשתתפים. אבל בפגישות עם הצפנה מקצה לקצה (E2EE), השרת לא רואה את התוכן של השיחה. לכן המסנן לא פועל שם, וההודעות הזדוניות עברו בלי הפרעה.
החוקרים ממליצים לכבות את ה-E2EE עד שכל המשתתפים מעדכנים את הלקוח. הם מדגישים שההצפנה לא הייתה עוצרת את התקיפה ממילא. התוקף הוא משתתף בפגישה, ולכן מחזיק במפתחות.
מודלי AI בנו את הניצול בפחות מיממה
החלק המטריד בממצאים הוא הקצב. החוקר הראשי הוא עידן לבקוביץ' (Idan Levcovich). לדבריו, הצוות השתמש בסוכן AI ובמודלים זמינים לציבור. לדבריו, כל התהליך לקח פחות מ-24 שעות ופחות מ-20 פניות למודל. כלי אוטומטי דירג 3,762 פונקציות ב-70 ספריות כדי למקד את החיפוש.
החוקרים דיווחו ל-Zoom ב-10 ביוני. התיקון לשתי החולשות הראשונות הגיע בגרסה 7.1.0 ב-22 ביוני. לחולשה השלישית התיקון הגיע בגרסה 7.1.5 ב-20 ביולי. במילים אחרות, Zoom הגיבה מהר. אבל אם חוקרים בונים ניצול כזה ביום אחד, גם תוקפים יכולים.
מה זה אומר עבורכם
- עדכנו את Zoom: בדקו בהגדרות שהגרסה היא 7.1.5 ומעלה. בענף הישן, 7.0.6 ומעלה. Zoom Rooms ו-Meeting SDK צריכים 7.1.0 לפחות.
- בארגון, קבעו גרסה מינימלית: ממשק הניהול של Zoom מאפשר לחסום לקוחות ישנים. החילו את זה גם על משתמשים אורחים.
- הגבילו את ההערות: בפגישות עם משתתפים לא מוכרים, כבו את כלי ההערות למשתתפים. אפשרו שיתוף מסך למארחים בלבד.
- סגרו את הדלת: השתמשו בחדר המתנה ובסיסמה. אל תפרסמו את קישור הפגישה האישי שלכם ברשת.
- פגישה רגישה? לפי החוקרים, הלקוח של Zoom בדפדפן לא כולל את כלי ההערות. זו חלופה בטוחה למי שלא יכול לעדכן מיד.
מה הלאה
ZOOMSDAY מצטרפת לרשימה גדלה של חולשות שחוקרים מוצאים בעזרת AI. עבור מנהלי IT, המסקנה פשוטה: חלון הזמן בין פרסום חולשה לניצול שלה מתקצר. לכן עדכון אוטומטי של אפליקציות שיחה כבר לא בגדר המלצה, אלא חובה.
לפי הביוגרפיה שלו, לבקוביץ' צבר מעל 20 שנות ניסיון באבטחה התקפית. יש לו גם רקע במודיעין הישראלי.
מקורות והרחבה
- ZOOMSDAY: How A Security Found a Nation-State Vulnerability in Zoom in One DayA Security
- ZSB-26015: Zoom Clients - Buffer Over-writeZoom
- AI Helps Researchers Uncover Zoom Zero-Click RCE in Less Than a DayeSecurity Planet
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
