Zoom исправил уязвимость, позволяющую захватить устройство через AI‑подсказки

Что случилось?

Исследователи из A Security обнаружили в Zoom уязвимость, позволяющую полностью захватить устройство участника видеовстречи. Эксплойт использовал функцию аннотации, через которую атакующий мог выполнить произвольный код, получив контроль над системой.

Как был найден эксплойт?

Уязвимость была воспроизведена с помощью менее 20 запросов к общедоступным моделям искусственного интеллекта (ChatGPT, Gemini и др.). По словам исследователей, AI‑модели предоставляли подсказки по построению цепочки запросов, которые в итоге привели к успешному обходу защиты.

Последствия

Если злоумышленник успевал внедрить эксплойт во время встречи, он мог:

• получить доступ к микрофону, камере и файлам пользователя;
• установить вредоносное ПО;
• полностью контролировать рабочий стол.

Реакция Zoom

Компания выпустила патч в рамках регулярного обновления Zoom 5.15.2 (см. блог Zoom, 2026‑08‑10). В патче изменена обработка данных аннотации и добавлены дополнительные проверки ввода. Zoom также рекомендовал всем пользователям немедленно обновить клиент и отключить функцию аннотации, пока не будет установлена обновлённая версия.

Что дальше?

• CVE‑2026‑XXXXX уже зарегистрирован в базе уязвимостей.
• Эксперты советуют проводить регулярные аудиты AI‑подсказок в продуктах, где пользовательский ввод может влиять на безопасность.
• Для разработчиков это пример того, как генеративный AI может стать инструментом в арсенале атакующих.

Ссылка: оригинальная статья The Verge – Zoom’s ‘Zoomsday’ hack uncovered using fewer than 20 AI prompts.