Zoom เปิดเผยช่องโหว่ใหม่ 4 รายการ โดยช่องโหว่ที่ได้รับความสนใจมากที่สุดคือ CVE-2026-53413 หรือที่ถูกตั้งชื่อว่า "Zoomsday" ระดับ High (CVSS 8.3) เป็นช่องโหว่ Memory Corruption ในฟังก์ชัน Annotation ที่ผู้ไม่ประสงค์ดีซึ่งเข้าร่วมประชุมสามารถส่งข้อมูลที่สร้างขึ้นเป็นพิเศษ เพื่อทำให้เกิด Buffer Overflow และอาจนำไปสู่การรันโค้ดบนเครื่องเป้าหมายได้ โดยไม่ต้องให้ผู้ใช้งานคลิกลิงก์หรือดำเนินการใดๆ (Zero-Click)
รายละเอียดช่องโหว่
ช่องโหว่ Zoomsday อยู่ในฟังก์ชัน CAnnoFormatBlock::Deserialize ซึ่งทำหน้าที่ประมวลผลข้อมูล Text-Annotation Formatting ในโปรโตคอลเฉพาะของ Zoom กลไกของช่องโหว่มีดังนี้:
- ฟังก์ชันนี้มี Buffer ขนาดคงที่ 128 Byte หลายจุด สำหรับจัดเก็บข้อมูล Formatting ของ Annotation
- ฟังก์ชันดังกล่าว เชื่อถือค่า Character Count แบบ 32-bit ที่ส่งมาจากเครือข่ายโดยไม่มีการตรวจสอบขนาดอย่างเหมาะสม
- เมื่อผู้โจมตีส่งค่า Count ที่เกินขนาด Buffer ที่กำหนดไว้ จะเกิด Stack Buffer Overflow เขียนข้อมูลทับหน่วยความจำที่อยู่ติดกัน
จุดที่ทำให้ช่องโหว่นี้มีความรุนแรงเป็นพิเศษคือสามารถโจมตีผ่าน ช่องทาง Encrypted Transport ปกติของ Zoom ที่ใช้งานระหว่างการประชุม โดยไม่ต้องอาศัยการหลอกลวงหรือการโต้ตอบใดๆ จากเหยื่อ เพียงแค่อยู่ในการประชุมเดียวกันกับผู้โจมตีก็เพียงพอแล้ว
นอกจาก CVE-2026-53413 แล้ว ยังพบช่องโหว่เพิ่มเติมในฟังก์ชัน Annotation เดียวกัน ได้แก่ CVE-2026-53414 (Medium, Buffer Overflow ที่อาจนำไปสู่ Denial-of-Service) และ CVE-2026-53415 (High, Use-After-Free ที่อาจนำไปสู่ Remote Code Execution เช่นกัน)
ระบบที่ได้รับผลกระทบ
- Zoom Client บนทุกแพลตฟอร์มที่รองรับ (Windows, macOS, Linux)
- Zoom Rooms
- VDI Client
- Meeting SDK
- องค์กรที่จัดประชุมผ่าน Zoom ร่วมกับผู้เข้าร่วมจากภายนอกที่ไม่ทราบตัวตนแน่ชัด มีความเสี่ยงสูงเป็นพิเศษ
ผลกระทบที่อาจเกิดขึ้น
- ผู้เข้าร่วมประชุมที่ประสงค์ร้ายสามารถรันโค้ดบนเครื่องของผู้เข้าร่วมคนอื่นได้ทันที เพียงแค่อยู่ในการประชุมเดียวกัน โดยไม่ต้องอาศัยการคลิกลิงก์หรือเปิดไฟล์ใดๆ
- กระทบผลิตภัณฑ์ Zoom หลากหลายรูปแบบพร้อมกัน ทั้ง Desktop Client, Zoom Rooms, VDI Client และ Meeting SDK ทำให้ Attack Surface กว้างกว่าช่องโหว่ทั่วไป
- ความเสี่ยงสูงเป็นพิเศษสำหรับการประชุมสาธารณะหรือการประชุมที่มีผู้เข้าร่วมจากภายนอกองค์กร ซึ่งไม่สามารถควบคุมหรือยืนยันตัวตนผู้เข้าร่วมได้อย่างเข้มงวด
- ช่องโหว่ที่เกี่ยวข้องอย่าง CVE-2026-53415 (Use-After-Free) เปิดช่องให้เกิด RCE ได้เช่นเดียวกัน ทำให้พื้นผิวการโจมตีของฟังก์ชัน Annotation โดยรวมมีความเสี่ยงสูง
สิ่งที่องค์กรควรทำ
- อัปเดต Zoom Workplace เป็นเวอร์ชัน 7.1.5 ขึ้นไป หรือ 7.0.6 สำหรับสายเวอร์ชันที่ยังคงใช้ 7.0.x โดยทันที
- ตรวจสอบว่า Zoom Rooms, VDI Client และ Meeting SDK ที่องค์กรใช้งานได้รับการอัปเดตครบถ้วน เนื่องจากช่องโหว่กระทบผลิตภัณฑ์หลายรูปแบบพร้อมกัน
- สำหรับการประชุมที่มีความอ่อนไหวสูงหรือมีผู้เข้าร่วมจากภายนอก ควรจำกัดสิทธิ์การใช้งาน Annotation หรือปิดใช้งานชั่วคราว ระหว่างรอการอัปเดตทั่วทั้งองค์กร
- แจ้งเตือนพนักงานที่ต้องประชุมกับบุคคลภายนอกที่ไม่คุ้นเคยให้ตระหนักถึงความเสี่ยงนี้ จนกว่าจะยืนยันได้ว่าอุปกรณ์ทั้งหมดได้รับการอัปเดตแล้ว
แนวทางลดความเสี่ยงระยะยาว
1. จัดกระบวนการ Patch Management สำหรับซอฟต์แวร์ประชุมทางไกลให้รวดเร็วเทียบเท่าซอฟต์แวร์ Endpoint หลัก
เนื่องจากเครื่องมือ Collaboration อย่าง Zoom กลายเป็นช่องทางเข้าถึงระบบที่สำคัญไม่แพ้ Browser หรือ Email
2. จำกัดสิทธิ์การใช้งานฟีเจอร์ที่มีความเสี่ยงสูง เช่น Annotation สำหรับผู้เข้าร่วมที่ไม่ทราบตัวตนแน่ชัด
โดยเฉพาะการประชุมสาธารณะหรือการประชุมกับคู่ค้าภายนอก
3. ใช้ Waiting Room และการยืนยันตัวตนผู้เข้าร่วมประชุมอย่างเข้มงวด
ลดความเสี่ยงจากผู้เข้าร่วมที่ไม่พึงประสงค์เข้าสู่การประชุมตั้งแต่ต้นทาง
4. ติดตาม Security Bulletin ของ Zoom และเครื่องมือ Collaboration อื่นที่องค์กรใช้งานอย่างสม่ำเสมอ
เนื่องจากช่องโหว่ประเภท Zero-Click ในเครื่องมือกลุ่มนี้มีแนวโน้มถูกค้นพบเพิ่มขึ้นตามการใช้งานที่เพิ่มขึ้น
วิเคราะห์ในมุมมองจาก TXEC
ช่องโหว่ Zoomsday เป็นตัวอย่างที่ชัดเจนว่าเครื่องมือ Collaboration ที่ใช้งานกันทุกวันอย่าง Zoom ได้กลายเป็นพื้นผิวการโจมตีที่มีมูลค่าสูงไม่แพ้ Browser หรือ Email แล้ว ลักษณะ Zero-Click ที่ไม่ต้องอาศัยการหลอกลวงใดๆ จากเหยื่อ ทำให้การโจมตีสามารถเกิดขึ้นได้ง่ายเพียงแค่ผู้โจมตีเข้าร่วมการประชุมเดียวกัน ซึ่งเป็นสถานการณ์ที่พบได้ทั่วไปในองค์กรที่จัดประชุมกับบุคคลภายนอกเป็นประจำ
TXEC มองว่าองค์กรควรให้ความสำคัญกับการอัปเดต Zoom ในทุกรูปแบบผลิตภัณฑ์ที่ใช้งานอย่างครบถ้วน ไม่ใช่แค่ Desktop Client เท่านั้น เนื่องจากช่องโหว่นี้กระทบ Zoom Rooms และ VDI Client ด้วย ซึ่งมักถูกมองข้ามในกระบวนการอัปเดตทั่วไป นอกจากนี้ การมีมาตรการควบคุมผู้เข้าร่วมประชุมที่เข้มงวด เช่น Waiting Room ยังคงเป็นเกราะป้องกันเพิ่มเติมที่สำคัญ แม้จะมีการแพตช์ช่องโหว่แล้วก็ตาม
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: CyberSecurityNews, SecurityWeek, SecurityAffairs, GBHackers ]