公開AIモデルでZoomのゼロクリックRCEを24時間未満で構築

Ⓐ Securityは、Zoomの独自アノテーションプロトコルに存在する3つのメモリ破損バグ（CVE-2026-53413/53414/53415、CVSS 9.0）を連鎖させ、Windows、macOS、Linux、iOS、Androidの全参加者に対するゼロクリックのリモートコード実行（RCE）を構築した。このエクスプロイトは、公開AIモデルへの20回未満のプロンプトにより、24時間未満で作成された。Zoomはv7.1.0およびv7.1.5でパッチを適用したが、エンドツーエンド暗号化（E2EE）を実行している7.1.5または7.0.6未満のWorkplaceクライアントは依然として脆弱であり、E2EEが有効な場合、サーバーはペイロードをフィルタリングできない。ここで重要なのはコスト曲線の変化だ。クローズドソースのエンタープライズソフトウェアに対するエクスプロイト開発は、かつては数か月と数百万ドルを要する国家レベルの能力であったが、現在では1営業日で完了するようになっている。

出典： a.security ↗