Phoenix 24
Una anotación maliciosa podía comprometer equipos sin advertencia.
San José, California | Agosto de 2026
Zoom publicó actualizaciones de seguridad para corregir varias vulnerabilidades relacionadas con las herramientas de anotación utilizadas durante las reuniones con pantalla compartida. Los fallos podían permitir que un participante ejecutara código malicioso en el dispositivo de otra persona conectada a la misma videollamada. El ataque no requería que la víctima pulsara un enlace, descargara un archivo ni aceptara una solicitud.
La vulnerabilidad más importante fue registrada como CVE-2026-53413 y clasificada por Zoom con una gravedad alta de 8,3 sobre 10. El problema se encontraba en la forma en que la aplicación procesaba los datos enviados mediante la función de anotación. Esta herramienta permite escribir, dibujar, resaltar o colocar símbolos sobre una pantalla compartida.
El protocolo utilizado para transmitir las anotaciones establecía un canal directo entre quienes participaban en la reunión. Los clientes de Zoom procesaban automáticamente la información recibida, incluso cuando contenía datos manipulados para exceder los límites previstos por el programa. Esa falta de verificación podía provocar una alteración de la memoria y abrir la posibilidad de ejecutar instrucciones en el equipo afectado.
Un atacante necesitaba ingresar o convocar una reunión en la que estuviera habilitada la función vulnerable. Después podía enviar un mensaje de anotación especialmente diseñado contra otro participante, sin mostrar dibujos, avisos o movimientos visibles en pantalla. La víctima podía continuar la conversación sin saber que su dispositivo había sido comprometido.
La ejecución remota de código representa uno de los riesgos más graves en seguridad informática. Si se explota con éxito, permite realizar acciones con los permisos disponibles para la aplicación o el usuario afectado. Entre las consecuencias potenciales se encuentran el robo de información, la instalación de programas maliciosos y el acceso no autorizado a recursos del dispositivo.
Los investigadores señalaron que una explotación más avanzada podría utilizarse para activar cámaras o micrófonos, extraer documentos y establecer mecanismos de persistencia. Sin embargo, esas consecuencias describen lo que técnicamente habría sido posible y no confirman que todas hayan ocurrido en ataques reales. Hasta la divulgación del problema no se había identificado públicamente una campaña activa que utilizara estas vulnerabilidades contra usuarios.
El descubrimiento fue realizado por especialistas de la firma A Security durante junio de 2026. El equipo denominó “Zoomsday” a la cadena de ataque y notificó sus hallazgos de manera privada para facilitar su corrección antes de publicar los detalles. Zoom respondió mediante modificaciones aplicadas tanto en sus servidores como en las aplicaciones instaladas por los usuarios.
Junto con CVE-2026-53413 se corrigieron otros dos problemas en la misma función de anotación. CVE-2026-53414 podía provocar una lectura de memoria fuera de los límites permitidos y causar la interrupción del servicio en otro participante. CVE-2026-53415 estaba relacionado con el uso de memoria después de haber sido liberada y también podía conducir a la ejecución remota de código.
Las vulnerabilidades afectaban a los clientes de Zoom en los sistemas operativos compatibles, incluidos Windows, macOS, Linux, Android e iOS. El alcance multiplataforma elevó la importancia del problema, pues no se limitaba a una marca de computadora o teléfono. Las organizaciones que utilizan escritorios virtuales, salas corporativas o integraciones mediante el kit de desarrollo también deben revisar sus instalaciones.
Zoom Workplace debe actualizarse a la versión 7.1.5 o a la 7.0.6, dependiendo de la rama mantenida en el dispositivo. Zoom Rooms y Zoom Meeting SDK requieren la versión 7.1.5 o una posterior. En entornos VDI para Windows, las versiones corregidas corresponden a 7.0.11 y 6.6.16, según la línea utilizada.
La empresa recomienda instalar siempre la versión más reciente disponible, ya que las cifras pueden cambiar con nuevas publicaciones. En la aplicación de escritorio, el usuario puede abrir el menú de su perfil, seleccionar la opción para buscar actualizaciones y completar el proceso antes de participar en otra reunión. Después debe reiniciar el programa y comprobar que la versión instalada coincida con una compilación corregida o superior.
Actualizar únicamente el navegador o el sistema operativo no sustituye la corrección del cliente de Zoom. Las empresas deben revisar además equipos administrados, salas de reuniones, complementos VDI y aplicaciones desarrolladas con componentes de Zoom. Un solo dispositivo sin actualizar puede permanecer expuesto aunque los demás integrantes de la videollamada ya estén protegidos.
Mientras se completa el despliegue de las actualizaciones, los administradores pueden desactivar las anotaciones para los participantes y limitar quién tiene autorización para compartir contenido. También resulta recomendable utilizar salas de espera, contraseñas y autenticación para impedir el ingreso de personas desconocidas. Estas medidas reducen la superficie de ataque, pero no deben considerarse sustitutas de la actualización.
Los anfitriones deben evitar publicar abiertamente las identificaciones y claves de reuniones laborales, académicas o institucionales. También conviene revisar la lista de asistentes, expulsar cuentas desconocidas y bloquear la sesión una vez que hayan ingresado los participantes previstos. La amenaza exigía compartir la reunión con el atacante, por lo que controlar el acceso constituye una barrera adicional.
El caso adquirió una dimensión mayor porque los investigadores utilizaron modelos públicos de inteligencia artificial durante el análisis. Según A Security, fueron necesarios menos de 20 comandos y aproximadamente un día para localizar los problemas y construir una demostración funcional. La afirmación no significa que cualquier conversación con una herramienta de IA produzca automáticamente un ataque, pero muestra cómo estos sistemas pueden acelerar investigaciones que antes exigían más tiempo y recursos.
La misma capacidad puede beneficiar a defensores cuando se emplea para revisar código, detectar errores y corregirlos antes de que sean explotados. El riesgo surge porque las técnicas también están disponibles para actores maliciosos que buscan automatizar el reconocimiento y la elaboración de ataques. La diferencia entre descubrimiento defensivo y explotación criminal depende cada vez más de quién encuentra primero la vulnerabilidad y cuánto tarda el proveedor en proteger a sus usuarios.
Compartir una pantalla no entrega por sí mismo el control del dispositivo ni significa que todas las reuniones anteriores estén comprometidas. El riesgo estaba asociado con versiones vulnerables que procesaban mensajes manipulados dentro de una sesión. Tampoco existen indicios públicos de que cada usuario que utilizó anotaciones haya sido atacado.
La respuesta adecuada no consiste en abandonar Zoom, sino en actualizarlo inmediatamente y revisar la configuración de las reuniones. Para instituciones educativas, empresas y dependencias gubernamentales, la instalación debe gestionarse de forma centralizada y verificarse en todos los equipos. La ausencia de señales visibles convierte la prevención en la única defensa confiable frente a un ataque de esta naturaleza.
La seguridad comienza antes del clic. / Security begins before the click.