Zoom 畫面分享漏洞可隔住會議執行程式碼，iPhone、Mac 用戶要即刻更新
攻擊者要加入同一場會議，但唔使主持權限，受害者亦唔使撳可疑連結
惡意參與者入到場，風險就開始
Zoom 呢次唔係普通彈 app 或畫面顯示錯誤。官方確認，CVE-2026-53413 可以畀同一場會議入面嘅惡意參與者，經網上向另一位參與者嘅裝置執行程式碼。漏洞橫跨 Windows、macOS、Linux、iOS 同 Android，所以公司開會、學校上堂、freelancer 見客或者跨境傾工作，只要仲用緊受影響版本都要處理。
攻擊有一個重要前提：對方要加入同一場 Zoom，會議入面亦要有畫面分享。不過研究人員向 WIRED 表示，攻擊者唔使做主持，目標亦唔使自己分享畫面、批准遙距控制或者撳另一條可疑連結；主持同普通參與者都可能中招。換句話講，密碼同 Waiting Room 仍然有用，但只可以阻住陌生人入場，擋唔到已獲准加入嘅惡意參與者。
問題出喺畫面標註功能
漏洞藏喺畫面分享期間用嚟即時畫線、圈重點同寫字嘅 annotation 功能。Zoom 官方話程式冇做好記憶體邊界檢查，特製嘅標註資料可以造成 buffer overwrite，最後演變成遠端程式碼執行。研究團隊形容攻擊過程冇畫面提示，目標亦未必察覺有任何異常；呢點先令普通工作會議變得麻煩，因為大家通常已經對場內成員放低戒心。
不過「遠端程式碼執行」唔應該直接等同攻擊者必然攞到整部機嘅 root 或系統最高權限。官方 bulletin 只確認程式碼執行，未有公開完整攻擊鏈，亦冇交代點樣越過 iOS sandbox 等系統保護。WIRED 用「接管裝置」形容最壞情況係合理警告，但按而家公開資料，較準確嘅講法係攻擊者取得 Zoom 程序範圍內嘅程式碼執行能力，再視乎平台權限或者其他漏洞擴大控制範圍。
邊啲版本要更新
Zoom 將漏洞評為 High，CVSS 8.3。一般 Zoom Workplace 用戶如果行緊 7.1 分支，要升到 7.1.5 或以上；留喺 7.0 分支就要 7.0.6 或以上。Windows VDI Client 要升到 7.0.11 或 6.6.16，Zoom Rooms 同 Meeting SDK 就要 7.1.0 或以上。舊到仲喺 6.x 嘅一般 app 用戶唔好只對最低版本，直接升最新版最穩陣。
Mac、Windows 同 Linux 用戶可以開 Zoom Workplace，撳右上角個人頭像，再揀 Help > About Zoom Workplace 睇版本；更新就喺同一個選單揀 Check for Updates。iPhone 同 Android 版可以去個人頭像、Settings、About 睇版本，再到 App Store 或 Google Play 更新。公司電腦如果冇「Check for Updates」，多數係 IT 用 MSI 或管理政策控制更新，要搵管理員推送新版。
修補咗，暫時未見真實攻擊個案
A Security 喺 6 月初發現漏洞後交畀 Zoom，官方到 8 月 11 日公開 bulletin，亦已推出 server 同 app 端修補。截至公開資料，Zoom、A Security 同 WIRED 都冇話漏洞已俾人用嚟發動真實攻擊，所以唔使當成裝置已經失守。不過 server 修補唔代表舊 app 已安全，官方仍然明確叫用戶裝最新版；有開外部會議或者公開活動嘅公司，亦應該順手檢查受管理裝置有冇卡喺慢速更新分支。
AI 幫手搵漏洞，門檻真係低咗
研究團隊話，佢哋用公開 AI 模型，少過 20 個 prompts 已經搵到問題兼整出可用攻擊，雖然冇公開模型名稱同完整技術步驟，亦唔代表任何人打幾句字就識攻擊 Zoom。不過呢件事反映，AI 已經可以幫熟悉安全研究嘅人更快翻查冷門協定同複雜功能。對 Zoom 呢類跨平台軟件嚟講，畫線工具咁細嘅功能都共享同一套協定，一個邊界檢查失手，就可以一次過影響五個作業系統，所以日後更要盡快更新。
參考來源
- 9to5Mac — Zoom flaw let an attacker take over your device, including iPhone and Mac — original report
- Zoom Security Bulletin ZSB-26015 — Zoom 官方公告，確認 CVE 編號、CVSS 評分、漏洞成因、影響產品同安全版本。
- A Zoom Screen-Sharing Bug Let Anyone Take Over Other Devices on a Call — 首輪詳細報道，交代攻擊條件、畫面標註協定、跨平台影響同 AI 協助發現漏洞嘅資料。
- Checking the Zoom version number — Zoom 官方步驟，核對桌面同手機 app 點樣查看已安裝版本。
- Updating Zoom to the latest version — Zoom 官方更新指南，交代手動更新、手機商店更新同受 IT 管理安裝嘅情況。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
