Zoom corregge “Zoomsday”, falla zero-click sfruttata durante le riunioni

Zoom ha corretto “Zoomsday”, una vulnerabilità zero-click che permetteva l’esecuzione di codice sui dispositivi dei partecipanti durante una riunione, senza clic né avvisi. Il difetto nasceva dalla funzione di annotazione usata mentre qualcuno condivideva lo schermo. La patch è disponibile tramite aggiornamento del client¹.

A Security afferma di aver costruito l’exploit in meno di un giorno usando modelli di intelligenza artificiale pubblici. “Meno di 20 prompt,” scrivono nel post pubblicato martedì. Wired aveva anticipato la notizia prima dell’uscita del rapporto tecnico¹.

Lo scenario descritto dai ricercatori è netto. L’attaccante poteva unirsi o ospitare una riunione, attivare l’annotazione e innescare l’exploit. Da lì, eseguire codice sui sistemi degli altri presenti. Effetti possibili: sottrarre dati, attivare microfono o fotocamera, installare malware. Le vittime non dovevano fare nulla. Nessun segnale visivo compariva durante l’attacco¹.

Il ricercatore Idan Levcovich sottolinea il cambio di scala. Finora, produrre un exploit di questo tipo richiedeva “team d’élite” e “mesi di sforzo”. Nel caso in esame, A Security dice di averlo fatto “in un solo giorno, con un agente AI”. La distanza tra chi può progettare e chi può difendersi si accorcia quando l’IA accelera passaggi prima lenti¹.

Zoom ha chiuso la falla. Il rapporto non indica CVE, versioni interessate o passaggi di mitigazione oltre alla patch. Mancano anche dettagli tecnici ulteriori oltre al ruolo dell’annotazione e alla natura zero-click dell’attacco. La comunicazione pubblica resta essenziale: sapere cosa aggiornare, e perché, riduce i tempi di esposizione¹.

“Zero-click” qui significa proprio assenza di azione lato utente: nessun link da aprire, nessun allegato da eseguire, nessun consenso da dare. L’attacco si svolge nel contesto di una riunione, dentro funzioni familiari agli utenti. Questo lo rende subdolo anche per chi segue buone pratiche di base, perché non c’è un gesto sospetto da evitare¹.

Il caso offre un punto fermo. Strumenti di IA accessibili al pubblico possono accelerare la costruzione di exploit pratici contro software di uso quotidiano. Succede anche quando i ricercatori agiscono in buona fede e segnalano subito, perché il percorso tecnico che li porta al risultato si accorcia e si semplifica. La stessa scorciatoia resta disponibile ad attori malevoli¹.

La chiusura della vulnerabilità limita il vettore legato all’annotazione. Resta l’implicazione più ampia: se “meno di 20 prompt” bastano per arrivare a un exploit funzionante, tempi e barriere di ingresso per attacchi mirati calano ancora. La difesa deve misurarsi con cicli di scoperta e sfruttamento sempre più brevi, anche su piattaforme diffuse come Zoom¹.