Zoom corregge tre falle RCE mentre un falso Wi-Fi appare su un volo Delta

🛡️ Executive Summary

• Tre falle nel motore Annotation di Zoom permettevano a un partecipante di raggiungere il client di altri utenti attraverso messaggi di meeting appositamente costruiti.
• A Security dimostra una zero-click RCE su macOS e percorsi di code execution multipiattaforma, dopo una ricerca assistita da modelli AI pubblicamente disponibili.
• Delta indaga invece su una rete Wi-Fi non autorizzata comparsa sul volo 591 Las Vegas-Atlanta; non è confermato che sia avvenuto un attacco deauthentication.

Due episodi molto diversi mostrano quanto la fiducia implicita nelle tecnologie collaborative possa trasformarsi in superficie d’attacco. Zoom ha pubblicato tre CVE relative al proprio motore di annotazione dopo che A Security ha dimostrato come messaggi costruiti da un partecipante possano raggiungere il parser degli altri client e provocare corruzione della memoria, fino alla remote code execution senza interazione della vittima nelle condizioni analizzate dai ricercatori. Negli stessi giorni Delta Air Lines ha avviato un’indagine dopo la comparsa di una rete Wi-Fi non autorizzata sul volo 591 da Las Vegas ad Atlanta, utilizzato anche da passeggeri di ritorno da DEF CON 34. La compagnia ha confermato la presenza dell’access point estraneo, ma non lo sfruttamento della rete di bordo né l’ipotesi, circolata online, di un attacco deauthentication.

Zoom corregge tre vulnerabilità nel motore Annotation

Le vulnerabilità pubblicate l’11 agosto sono CVE-2026-53413, CVE-2026-53414 e CVE-2026-53415. Zoom assegna alla prima e alla terza una gravità High con CVSS 8.3, mentre CVE-2026-53414 è classificata Medium con punteggio 6.5. I tre problemi riguardano rispettivamente un buffer over-write, un buffer over-read e una use-after-free nei client Zoom. I dettagli ufficiali sono raccolti nei Security Bulletin ZSB-26015, ZSB-26016 e ZSB-26017. Le versioni vulnerabili comprendono diverse release di Zoom Workplace, Zoom Rooms, Zoom Meeting SDK e VDI Client, mentre Zoom raccomanda come sempre l’aggiornamento alle versioni più recenti. Le nuove CVE arrivano meno di un mese dopo la CVE-2026-53412, vulnerabilità Critical di Zoom Workplace per Windows.

Una semplice annotazione diventa input remoto per il parser

La ricerca parte dal funzionamento interno delle annotazioni. Quando un utente disegna, inserisce testo o aggiunge una forma sopra uno schermo condiviso, Zoom non trasmette un’immagine già renderizzata ma costruisce oggetti strutturati, li serializza e li invia attraverso il protocollo della riunione. Sul client remoto il processo avviene al contrario: il messaggio viene deserializzato e ricostruito nella memoria del destinatario. A Security ha concentrato l’analisi sulla libreria libannotate.so, osservando che diversi campi del protocollo utilizzavano dimensioni e conteggi forniti direttamente dal mittente. La ricerca tecnica ZOOMSDAY di A Security descrive inoltre un problema architetturale nel dispatch dei messaggi: sui percorsi analizzati il client determina il parser da utilizzare in base all’opcode senza verificare adeguatamente il ruolo del mittente. Un partecipante può così inviare verso il presentatore strutture che normalmente dovrebbero provenire dalla direzione opposta, mentre il presentatore possiede canali verso tutti i partecipanti.

CVE-2026-53413 supera un buffer fisso da 128 byte

CVE-2026-53413 nasce durante la deserializzazione delle annotazioni testuali. Il componente CAnnoFormatBlock contiene quattro buffer fissi da 128 byte, utilizzati per memorizzare informazioni di formattazione come stringhe UTF-16. Il protocollo riceve però dal mittente un contatore a 32 bit e utilizza quel valore per stabilire quanti byte copiare senza confrontarlo correttamente con la dimensione del buffer di destinazione. Inviando un valore sufficientemente grande, l’attaccante può quindi continuare la scrittura oltre il limite dell’oggetto. Nella variante stack analizzata su macOS, il quarto buffer è l’ultimo elemento della struttura e l’overflow raggiunge registri salvati e return address, fornendo una primitiva utile per deviare il controllo del programma. A Security ha costruito un PDU AddObj di 745 byte capace di raggiungere il parser attraverso il normale trasporto Zoom senza richiedere file, download o clic sulla macchina della vittima.

Su macOS il PoC arriva alla remote code execution

Nel client macOS analizzato, il bundle annoter era compilato in modo tale da consentire ai ricercatori di trasformare la corruzione dello stack in controllo del program counter e di numerosi registri ARM64. A Security ha quindi utilizzato un gadget presente nella shared cache del sistema per raggiungere execvp() e dimostrare l’esecuzione arbitraria facendo aprire Safari direttamente dal processo Zoom compromesso. Il proof-of-concept non dimostra che ogni piattaforma venga sfruttata attraverso la stessa identica catena: la struttura di memoria e le mitigazioni cambiano tra sistemi operativi. La società afferma però di aver confermato la vulnerabilità sui client supportati e descrive anche un percorso Android basato su heap shaping e corruzione parziale di un vtable pointer. La rilevanza riguarda quindi la condivisione dello stesso motore Annotation tra piattaforme, più che l’esistenza di un exploit universale identico per Windows, macOS, Linux, Android e iOS.

Il buffer over-read può esporre indirizzi utili a bypassare ASLR

CVE-2026-53414 riguarda invece una lettura oltre i limiti. Il parser alloca un buffer utilizzando un conteggio dichiarato dal mittente ma può copiarvi un corpo più corto di quanto previsto, lasciando una parte della memoria non inizializzata. Quando quella struttura viene successivamente utilizzata, secondo A Security può emergere contenuto residuo della heap del processo remoto. I ricercatori riferiscono di aver recuperato puntatori a codice e vtable appartenenti a librerie caricate, informazioni potenzialmente utili per ricostruire il base address di un modulo e indebolire Address Space Layout Randomization. Su questo punto esiste una differenza importante tra vendor e ricercatori: Zoom assegna alla CVE un impatto Medium e descrive principalmente la possibilità di denial of service, mentre A Security attribuisce alla perdita di memoria un valore maggiore all’interno di una exploit chain. Non risultano evidenze pubbliche di sfruttamento in-the-wild.

CVE-2026-53415 aggiunge una seconda primitiva di scrittura

La terza vulnerabilità, CVE-2026-53415, riguarda un oggetto auto-shape e produce una use-after-free secondo la classificazione Zoom. L’analisi di A Security descrive la possibilità di manipolare una struttura linked-list con puntatori controllati dal mittente fino a ottenere una write-what-where primitive, quindi una condizione potenzialmente utilizzabile per ulteriori percorsi di code execution. C’è però un dettaglio significativo nella disclosure: Zoom conosceva già questa terza vulnerabilità attraverso il proprio team Offensive Security e aveva implementato un filtro server-side prima della segnalazione esterna. Quel filtro non poteva però proteggere allo stesso modo le riunioni end-to-end encrypted, perché il server non dispone del contenuto necessario per riconoscere e scartare il messaggio malevolo. Il fix definitivo lato client è arrivato con Zoom 7.1.5.

Le patch sono arrivate prima della disclosure pubblica

La cronologia è importante perché le falle non sono state rese pubbliche prima della disponibilità delle correzioni. A Security afferma di aver individuato il problema principale l’8 giugno 2026, confermato la RCE il giorno successivo e notificato Zoom il 10 giugno. Il vendor ha distribuito un primo fix client il 22 giugno con la versione 7.1.0, seguito da una mitigazione server-side il 15 luglio e dal fix per CVE-2026-53415 con 7.1.5 il 20 luglio. La pubblicazione tecnica è avvenuta soltanto l’11 agosto. Per i rami interessati i ricercatori indicano come soglie corrette Zoom Workplace 7.1.5 e 7.0.6, Zoom Workplace VDI Client per Windows 7.0.11 e 6.6.16 e almeno 7.1.0 per Zoom Rooms e Meeting SDK nelle CVE precedenti, con requisiti aggiornati per la terza falla. La scelta più sicura resta installare l’ultima release supportata anziché fermarsi alla prima versione contenente la patch.

L’AI ha accelerato l’exploit ma non ha trovato tutto da sola

A Security accompagna la disclosure con una seconda affermazione destinata a pesare sul dibattito cyber: la società sostiene di essere passata dall’individuazione della superficie alla RCE funzionante in meno di 24 ore e con meno di 20 prompt, utilizzando modelli AI pubblicamente disponibili. La ricostruzione tecnica mostra però un processo più articolato di quanto suggerisca questa sintesi. Il primo ranking automatico aveva analizzato 3.762 funzioni in 70 librerie, ma aveva collocato libannotate.so soltanto al quarantacinquesimo posto e non aveva trovato la superficie corretta.

È stato necessario osservare dinamicamente una vera riunione, esercitare le funzionalità una alla volta e utilizzare Frida per capire quale libreria elaborasse input realmente controllabili da remoto. L’AI ha successivamente assistito reverse engineering, analisi dei parser e costruzione dell’exploit. Il caso rafforza quindi lo scenario già aperto da Astra e GPT-5.6-Cyber sulla crescente capacità dei modelli nella vulnerability research, ma non dimostra un processo completamente autonomo.

Sul volo Delta compare una rete Wi-Fi non autorizzata

In parallelo alla disclosure Zoom, il 10 agosto si è verificato un episodio completamente differente a bordo del Delta Flight 591, in viaggio da Las Vegas ad Atlanta dopo la conclusione di DEF CON 34. Delta ha confermato ai media che durante il volo è comparsa una rete Wi-Fi non fornita, gestita o autorizzata dalla compagnia. Dopo la segnalazione, l’equipaggio ha disattivato temporaneamente il Wi-Fi di bordo per circa 30 minuti. La compagnia ha precisato che la sicurezza del volo non è mai stata compromessa e nessun sistema operativo dell’aeromobile è stato interessato, annunciando una collaborazione con autorità federali e regolatori dell’aviazione per ricostruire l’accaduto.

L’attacco deauthentication resta un’ipotesi e non un fatto confermato

Su questo episodio è necessario separare quanto confermato dalle ricostruzioni circolate online. Diversi resoconti hanno parlato di un Wi-Fi deauthentication attack, tecnica nella quale vengono trasmessi frame che inducono i client a disconnettersi dall’access point legittimo, eventualmente facilitando la connessione a un evil twin con SSID simile. Al momento, però, Delta ha confermato soltanto l’esistenza della rete non autorizzata e l’interruzione temporanea del proprio servizio Wi-Fi. Non risultano confermati pubblicamente né un deauthentication attack, né la sottrazione di credenziali ai passeggeri, né una compromissione della rete di bordo. Anche l’associazione dell’azione a partecipanti DEF CON deriva dal contesto del volo e dalle prime segnalazioni, non da un’attribuzione ufficiale conclusiva. L’indagine annunciata dalla compagnia deve quindi stabilire chi abbia creato la rete, con quali strumenti e per quale finalità.

Una rete falsa non equivale a violare i sistemi dell’aereo

La distinzione è particolarmente importante in ambito aeronautico. Creare un access point Wi-Fi non autorizzato all’interno della cabina può rappresentare un serio incidente di sicurezza e può essere utilizzato per phishing, impersonificazione della rete o interferenze con la connettività dei passeggeri, ma non dimostra automaticamente un accesso ai sistemi avionici o operativi del velivolo. Delta ha escluso quest’ultimo scenario nelle informazioni diffuse finora. Il caso riguarda quindi, sulla base dei fatti disponibili, la rete destinata ai passeggeri e l’ambiente radio della cabina, non i sistemi necessari alla conduzione del volo. Confondere i due livelli trasformerebbe un episodio ancora sotto indagine in una compromissione aeronautica per la quale non esistono evidenze pubbliche.

Zoom e Delta mostrano il problema della fiducia dentro uno spazio condiviso

Le due vicende non condividono né tecnologia né attore, ma mostrano un elemento comune utile sul piano difensivo. In Zoom, essere ammessi alla riunione significa entrare in uno spazio nel quale i client elaborano dati inviati dagli altri partecipanti; la falla nasceva proprio dal fatto che messaggi provenienti da una posizione legittima potevano raggiungere parser che attribuivano implicitamente fiducia al protocollo e al ruolo del mittente. Su un aereo, vedere un SSID plausibile all’interno di una cabina porta invece il passeggero a presumere che quella rete appartenga al vettore. In entrambi i casi la prossimità logica o fisica non costituisce una prova di affidabilità. Per Zoom la risposta immediata è aggiornare i client e ridurre le funzionalità collaborative non necessarie, soprattutto in meeting sensibili; per le reti wireless resta invece fondamentale verificare il portale e la rete alla quale ci si collega, evitando di consegnare credenziali a SSID comparsi senza una chiara autenticazione. Il punto non è smettere di usare videoconferenze o Wi-Fi pubblici, ma eliminare l’assunto secondo cui ciò che appare dentro un ambiente già fidato debba essere automaticamente considerato fidato a sua volta.