Zoom tinha falha apelidada de Zoomsday: hackers podiam controlar seu PC sem nenhum clique

Imagine estar numa videochamada de trabalho e, sem clicar em nada, sem baixar nenhum arquivo e sem receber qualquer aviso na tela, ter o computador tomado por um estranho que também está na reunião. Foi mais ou menos esse o cenário que pesquisadores de segurança descreveram numa falha grave do Zoom, apelidada de Zoomsday. Segundo o site 9to5Mac, o problema permitia que um participante de uma chamada executasse código no aparelho de outro, sem que a vítima percebesse nada de diferente na tela.

A brecha mora numa parte do programa que lida com anotações feitas durante as chamadas, aqueles desenhos e marcações que dá para fazer em cima da tela compartilhada. Um erro na forma como o Zoom processava esses dados abria espaço para o que a área de segurança chama de execução remota de código, um jeito de um invasor rodar comandos no computador de outra pessoa à distância, como se estivesse sentado na frente da máquina. O detalhe mais preocupante é que o ataque funcionava sem exigir clique, download ou qualquer interação da vítima. Bastava estar na mesma reunião que o atacante para ficar exposto.

A falha foi encontrada pela empresa de segurança A Security, que reportou o problema ao Zoom antes de torná-lo público, o caminho considerado responsável nesse tipo de descoberta. De acordo com o relato, a vulnerabilidade afeta os aplicativos do Zoom para Windows, macOS, iOS e Android. Ou seja, praticamente qualquer pessoa que usa o programa em qualquer aparelho estava exposta enquanto a brecha não era corrigida.

A notícia boa é que o Zoom já resolveu o problema. A empresa lançou atualizações para as versões mais recentes do aplicativo, incluindo o Zoom Workplace, o Zoom Rooms e o kit de desenvolvimento usado por quem constrói ferramentas em cima da plataforma. Quem mantém o programa configurado para atualizar sozinho já deve estar protegido. Quem desativou essa opção precisa abrir o Zoom e conferir manualmente se há uma versão nova disponível.

Não existe confirmação de que criminosos tenham usado a falha antes da correção. O processo de divulgação responsável costuma incluir um prazo para a empresa afetada resolver o problema antes que os detalhes técnicos cheguem ao público, o que reduz a chance de exploração em massa logo de cara. Mas o caso reforça um ponto que costuma passar batido: ferramentas de videochamada viraram parte essencial do trabalho remoto, e uma falha nelas pode expor muito mais do que uma conversa. Câmera, microfone, arquivos abertos, senhas salvas no navegador, tudo isso fica ao alcance de quem controla o computador de outra pessoa.

O Zoom não é a primeira ferramenta de trabalho a esbarrar num problema desse tipo, e dificilmente será a última. O que muda o resultado prático é a velocidade da correção e o hábito de manter os aplicativos sempre atualizados. Nesse caso, o conserto já está disponível. Falta só instalar.