Zoom vá lỗi chú thích có thể cho phép chiếm quyền phiên của người tham gia
"Zoom patched three annotation-tool vulnerabilities that could let a meeting participant hijack another attendee's client during screen sharing, including a buffer over-write, buffer over-read, and use-after-free. The issues are tracked as CVE-2026-53413, CVE-2026-53414, and CVE-2026-53415, with fixes released in June and July for Zoom Workplace, Zoom Workplace VDI Client, Zoom Rooms, and Zoom Meeting SDK; no exploitation has been reported publicly."
Ảnh hưởng đến tính toàn vẹn bộ nhớ của máy khách và có thể dẫn tới chiếm quyền phiên trong cuộc họp; hiện chưa có ghi nhận khai thác công khai.
Có thể gây gián đoạn các cuộc họp trực tuyến và ảnh hưởng đến môi trường cộng tác từ xa; doanh nghiệp cần ưu tiên cập nhật để giảm rủi ro vận hành.
Zoom đã phát hành bản vá cho ba lỗ hổng trong công cụ annotation của Zoom Workplace, Zoom Workplace VDI Client, Zoom Rooms và Zoom Meeting SDK. Các lỗi này có thể bị lợi dụng khi đang chia sẻ màn hình để làm cho một người tham gia điều khiển hoặc chiếm quyền phiên của máy khách người khác trong cuộc họp.
Ba vấn đề được theo dõi là CVE-2026-53413 (ghi đè bộ nhớ đệm), CVE-2026-53414 (đọc tràn bộ đệm) và CVE-2026-53415 (use-after-free). Theo thông tin công bố, các bản sửa đã được phát hành trong tháng 6 và tháng 7, trước khi lỗ hổng được công khai, và chưa ghi nhận khai thác công khai. Các mục này cũng không xuất hiện trong CISA KEV tại thời điểm bài viết.
Tác động kỹ thuật chủ yếu nằm ở việc dữ liệu chú thích được xử lý không an toàn, cho phép nội dung độc hại ảnh hưởng đến bộ nhớ tiến trình của máy khách. Do đó, quản trị viên nên nâng cấp ngay lên các phiên bản đã khắc phục, kiểm tra các nhánh triển khai đang dùng và ưu tiên cập nhật trên môi trường họp trực tuyến, VDI và SDK nhúng.
Nếu tổ chức phụ thuộc vào Zoom cho họp nội bộ hoặc họp với khách hàng, nên rà soát thêm cấu hình chia sẻ màn hình và quy trình cập nhật máy trạm để giảm rủi ro từ các lỗi memory corruption.