Según A Security, un investigador de seguridad necesitó menos de 20 indicaciones a un modelo de IA disponible públicamente y menos de 24 horas para convertir una función poco conocida de Zoom en una vulnerabilidad de ejecución remota de código que funcionaba sin necesidad de clics. La falla, a la que la empresa apodó "Zoomsday", residía en la herramienta de anotación que permite a los participantes de una reunión dibujar y escribir sobre una pantalla compartida, y permitía a cualquier atacante que ya estuviera en una llamada tomar el control del dispositivo del presentador o de cualquier otro asistente sin hacer clic, sin descargar nada y sin dejar rastro visible de lo sucedido, según Wired.

Zoom ya ha corregido los errores subyacentes. La compañía publicó boletines de seguridad para tres fallos relacionados el 11 de agosto, identificados como CVE-2026-53413, una sobreescritura de búfer de alta gravedad; CVE-2026-53414, una sobrelectura de búfer de gravedad media; y CVE-2026-53415, un uso de memoria liberada de alta gravedad, según los boletines de Zoom. Se distribuyeron parches del lado del cliente para Windows, macOS, Linux, iOS y Android en las versiones 7.1.5 y 7.0.6, y Zoom afirma no haber encontrado evidencia de que las vulnerabilidades se hayan explotado fuera del laboratorio de investigación, un punto que SC World corrobora. Ninguno de los tres identificadores aparece en el catálogo de vulnerabilidades explotadas conocidas de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU.

Lo que hace que este episodio sea notable no es la existencia de un fallo en el software empresarial, algo que ocurre constantemente, sino el breve lapso de tiempo y el mínimo esfuerzo necesarios para encontrarlo y explotarlo en un sistema propietario, de código cerrado y ampliamente utilizado. Zoom es utilizado por aproximadamente el 70% de las empresas de Fortune 100 y la mayoría de las de Fortune 500, según A Security, lo que lo convierte precisamente en el tipo de objetivo de alto valor y baja transparencia que históricamente requería un equipo especializado y bien financiado para ser vulnerado. Idan Levcovich, el investigador de A Security que dirigió el trabajo y exmiembro de la inteligencia israelí, escribió que producir un exploit funcional de este calibre "siempre ha sido trabajo de estados nación: equipos de élite, meses de esfuerzo, presupuestos que los gobiernos regulan como armas", y que su equipo "lo logró en un solo día, con un agente de IA y modelos a los que cualquiera puede acceder hoy en día", una cita que también fue recogida por The Verge.

El mecanismo detrás del error es un caso de estudio sobre cómo los protocolos cerrados acumulan riesgos ocultos. La función de anotación de Zoom no transmite los dibujos como imágenes; cada marca que hace un usuario se convierte en un objeto escrito en la memoria, se serializa en un formato binario propietario y se enruta a través del enrutador multimedia de Zoom a otros participantes, donde se deserializa y se renderiza, según A Security. Los investigadores descubrieron que una rutina llamada CAnnoFormatBlock::Deserialize leía un recuento de caracteres de 32 bits directamente de la red y copiaba esa cantidad de bytes en un búfer fijo de 128 bytes sin comprobar si los datos entrantes cabían realmente, un patrón clásico de comprobación de límites faltantes. Dado que la misma biblioteca nativa, libannotate.so, se compila en todos los clientes de Zoom en sistemas operativos de escritorio y móviles, una sola función defectuosa afectó a toda la línea de productos en lugar de a una plataforma aislada.

Igualmente significativo fue un fallo de diseño en la forma en que el canal de anotaciones gestionaba la dirección de los mensajes. Los participantes habituales solo podían enviar mensajes de confirmación a quien compartía la pantalla, mientras que el presentador podía enviar objetos de anotación completos a los espectadores. Un experto en seguridad descubrió que la fábrica de deserialización nunca comprobaba qué rol enviaba un mensaje entrante, por lo que un participante podía insertar un objeto de anotación completo dentro de lo que parecía una confirmación y el cliente del presentador lo reconstruía y renderizaba fielmente, lo que permitía atacar a la persona supuestamente responsable de la reunión. En macOS, donde el módulo de anotaciones compilado no incluía protecciones de autenticación de punteros ni de detección de pila, el desbordamiento permitió a los investigadores redirigir la dirección de retorno del programa a una secuencia de código ya presente en la caché de la biblioteca compartida del sistema operativo, lo que finalmente abrió Safari en el equipo de la víctima de prueba sin ninguna interacción por parte de esta. Según Hacker News, una vulnerabilidad relacionada, catalogada por separado como un fallo de uso de memoria liberada, seguía siendo explotable específicamente en reuniones cifradas de extremo a extremo, porque el filtro provisional del servidor de Zoom solo podía inspeccionar y bloquear mensajes maliciosos cuando podía leer el tráfico que pasaba a través de él, una capacidad de inspección que el cifrado, por diseño, elimina.

La cronología de respuesta de Zoom muestra que el proceso de divulgación coordinada funcionó casi según lo previsto. A Security afirma haber identificado la vulnerabilidad el 8 de junio, haber confirmado un exploit funcional contra la versión 7.0.5 del cliente de Zoom al día siguiente y haberlo reportado a Zoom el 10 de junio. Zoom acusó recibo del informe en menos de un día y lanzó una corrección del lado del cliente en la versión 7.1.0 el 22 de junio, seguida de una mitigación del lado del servidor el 15 de julio y un parche adicional para el cliente el 20 de julio que cerró la brecha de las reuniones cifradas, según A Security. La divulgación pública no se produjo hasta el 11 de agosto, aproximadamente dos meses después del informe inicial, lo que dio a los departamentos de TI empresariales un margen de tiempo para actualizar las flotas administradas antes de que los detalles técnicos se hicieran públicos, una secuencia que también señaló SC World.

La implicación más amplia que los investigadores extraen de Zoomsday se refiere a la evolución de la economía del descubrimiento de vulnerabilidades, más que a un fallo específico en el código de Zoom. A Security afirma que su proceso consistió primero en pedir a un modelo de IA que clasificara estáticamente miles de funciones de la aplicación de Zoom para Android según su exposición a operaciones que no garantizan el uso seguro de la memoria. Inicialmente, esto apuntaba al código de la cámara y la renderización, que resultó ser inaccesible para un atacante remoto. Solo después de adoptar un enfoque dinámico, rastreando qué características de la red podía influir un participante remoto durante una llamada en directo, el subsistema de anotaciones se reveló como el punto débil, lo que demuestra que las herramientas de IA aceleraron el proceso de búsqueda sin eliminar la necesidad de un investigador que supiera qué preguntas formular. Este matiz es importante para interpretar el hallazgo: menos de 20 preguntas produjeron un exploit funcional, pero solo una vez dirigido por alguien con dos décadas de experiencia en seguridad ofensiva.

La revelación llega un día después de que OpenAI reestructurara su programa de ciberseguridad, restringiendo la versión más avanzada de su modelo de seguridad ofensiva, diseñado específicamente para este fin, a socios institucionales verificados en lugar de a usuarios generales, según Help Net. En conjunto, ambos acontecimientos apuntan a la misma tensión estructural: a medida que los sistemas de IA de propósito general se vuelven más competentes en el tipo de ingeniería inversa y análisis de protocolos que antes requerían equipos especializados, la industria del software se enfrenta a un margen cada vez menor entre el momento en que una capacidad se vuelve ampliamente accesible y el momento en que los defensores pueden cerrar las brechas que dicha capacidad es capaz de encontrar. La solución de Zoom ya está disponible, probada y aparentemente efectiva. La pregunta que queda abierta tras este episodio es si otras plataformas cerradas y omnipresentes tienen protocolos equivalentes sin examinar, a un paso de ser revelados.