Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Tre vulnerabilità Zoom, denominate Zoomsday, potevano consentire l’esecuzione di codice arbitrario sui dispositivi dei partecipanti attraverso la funzione di annotazione e la condivisione dello schermo. Tra i bug, CVE-2026-53413 e CVE-2026-53415 hanno ricevuto un CVSS 8,3. Zoom ha distribuito le correzioni tra giugno e luglio 2026.
I ricercatori di A Security hanno scoperto diverse vulnerabilità in Zoom, che sono state chiamate collettivamente Zoomsday e hanno consentito a un partecipante alla riunione di eseguire in remoto codice sui dispositivi di altri utenti. L’attacco non ha richiesto alcuna azione da parte delle vittime e ha funzionato su Windows, macOS, Linux, iOS e Android.
I problemi identificati dagli esperti hanno interessato la funzionalità delle annotazioni, che consente ai partecipanti alla riunione di disegnare e scrivere sullo schermo condiviso. Se qualcuno mostrasse il proprio schermo durante una chiamata, l’aggressore potrebbe impossessarsi sia del dispositivo di quell’utente che di qualsiasi altro partecipante che stava guardando la trasmissione.
La vulnerabilità più pericolosa ha ricevuto l’identificatore CVE-2026-53413 e un punteggio CVSS di 8,3. Questo bug causava il danneggiamento della memoria e consentiva l’esecuzione di codice arbitrario in remoto senza avvisi, clic o download di file.
La radice del problema è stata trovata nel protocollo di annotazione proprietario di Zoom. Pertanto, i client Zoom elaborano automaticamente gli oggetti ricevuti e vengono stabiliti canali di comunicazione diretti tra l’utente che condivide il suo schermo e gli spettatori. Tuttavia, i ricercatori hanno scoperto che Zoom non controllava correttamente le origini di alcuni messaggi e che uno dei gestori non controllava i limiti del buffer.
Di conseguenza, un messaggio appositamente preparato ha reso possibile il superamento dei limiti del buffer e l’esecuzione di codice arbitrario.
Un altro bug simile, CVE-2026-53414 (punteggio CVSS 6,5), comportava la lettura dei dati oltre i limiti. Sebbene gli sviluppatori di Zoom ritengano che il problema possa essere utilizzato solo per attacchi DoS, A Security afferma di essere riusciti a estrarre dalla memoria puntatori che potrebbero essere utilizzati per aggirare ASLR.
La terza vulnerabilità, CVE-2026-53415 (8,3 di punteggio), appartiene alla classe use-after-free. Sebbene A Security lo abbia scoperto in modo indipendente, in seguito si è scoperto che gli sviluppatori di Zoom erano già a conoscenza di questo bug.
I ricercatori valutano tutti e tre i bug ad un livello di 9.0 sulla scala CVSS 4.0 e affermano che possono essere utilizzati per implementare un attacco zero-click. Tuttavia, i punteggi ufficiali di Zoom erano notevolmente più bassi e indicano che è necessaria l’interazione dell’utente per sfruttare i problemi.
Correzioni per i problemi di Zoomsday (ZSB-26015, ZSB-26016 e ZSB-26017) ha iniziato a diffondersi tra giugno e luglio 2026, circa due mesi prima della divulgazione pubblica delle vulnerabilità. Zoom sottolinea di non aver solo rilasciato patch per il client, ma anche di aver implementato misure di protezione del server. Pertanto, le correzioni sono state incluse nelle versioni attuali di Zoom Workplace, Rooms e Meeting SDK.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/