Zoom, Sıfır Tıklama ile Kod Çalıştırmaya İzin Veren Kritik Açığı Yamaladı
Popüler video konferans platformu Zoom, ürünlerinde tespit edilen dört farklı güvenlik açığı için acil durum yamaları yayınladı. A Security adlı siber güvenlik firması tarafından keşfedilen ve Zoomsday olarak isimlendirilen bu açık, toplantıdaki bir katılımcının, diğer katılımcıların cihazlarında herhangi bir onay veya etkileşim gerektirmeden zararlı kod çalıştırmasına izin veriyordu.
Söz konusu zafiyet, uygulamanın açıklama (annotator) işlevinde kullanılan özel bir protokolden kaynaklanıyor. Araştırmacılar, Zoom istemcisinin kendisine gelen mesajları otomatik olarak ayrıştırmasının, saldırganların belleği bozarak cihaz kontrolünü ele geçirmesine zemin hazırladığını belirtti. Bu yöntemle saldırganlar, bir toplantıya katılarak veya toplantı oluşturarak herhangi bir görsel uyarı tetiklemeden hedef cihaz üzerinde tam yetki sahibi olabiliyordu.
Güvenlik araştırmacıları ayrıca aynı işlevde CVE-2026-53414 kodlu bir bellek aşımı zafiyeti daha tespit etti. Bu açık, hizmet reddi (DoS) saldırıları düzenlemek için kullanılabiliyor. Bunun yanı sıra, CVE-2026-53416 olarak tanımlanan ve bilgi ifşasına yol açabilen bir yol geçişi (path traversal) açığı da yama kapsamına alındı.
Kullanıcıların bu risklerden korunması için Workplace 7.1.5, Rooms 7.1.5 ve Meeting SDK 7.1.5 sürümlerine geçiş yapmaları gerekiyor. Ayrıca Windows üzerindeki Workplace VDI istemcileri için 7.0.11 ve 6.6.16 sürümleri, VDI eklentileri için ise 7.0.11 ve 6.6.15 sürümleri gerekli güvenlik düzeltmelerini içeriyor. Şirket, tüm kullanıcıların en güncel sürümleri yükleyerek sistemlerini güvence altına almalarını öneriyor.
