Zoom ha rilasciato gli aggiornamenti di sicurezza per CVE-2026-53412, una vulnerabilità critica con punteggio CVSS 9.8 su 10 che colpisce il client desktop per Windows e che, se sfruttata, consente a un attaccante non autenticato di impossessarsi dell'account di un utente Zoom. Allo stato attuale non risultano sfruttamenti confermati in attacchi reali, ma la gravità del difetto e la diffusione capillare del software rendono l'aggiornamento una priorità immediata.

I fatti

La falla è classificata come improper input validation — una validazione impropria dei dati in ingresso — e riguarda le versioni Windows di due prodotti:

  • Zoom Workplace (il client desktop principale, l'ex "Zoom Desktop Client") precedenti alla versione 7.0.0;
  • Zoom VDI Client for Windows precedenti alle versioni 7.0.10, 6.6.15 e 6.5.18, a seconda del ramo installato.

Nella revisione del 15 luglio 2026 Zoom ha rimosso dal perimetro il Meeting SDK for Windows, inizialmente elencato tra i componenti colpiti. Il dettaglio più preoccupante è il vettore d'attacco: secondo la descrizione tecnica, la compromissione avviene attraverso la rete, con bassa complessità e senza richiedere credenziali valide, accesso locale o alcuna interazione da parte della vittima. Non serve quindi ingannare l'utente con un clic o un allegato: è sufficiente un percorso di rete verso il client vulnerabile per tentare l'attacco.

L'espressione "account takeover" non è un tecnicismo innocuo. Chi ottiene il controllo di un account Zoom può impersonare l'utente nelle riunioni, accedere alla cronologia delle chat, alla rubrica dei contatti, al calendario e alle eventuali registrazioni salvate nel cloud, e sfruttare quell'identità come punto d'appoggio verso altri servizi aziendali collegati — spesso tramite Single Sign-On.

Cosa significa per le aziende italiane

Dopo gli anni del lavoro da remoto, Zoom è entrato stabilmente nella dotazione di moltissime realtà italiane: PMI, studi professionali, università, sanità e pubblica amministrazione lo usano quotidianamente per riunioni, lezioni e colloqui, quasi sempre su postazioni Windows. È proprio questa combinazione — larga diffusione e sistema operativo più bersagliato — a rendere la CVE-2026-53412 rilevante ben oltre il perimetro puramente tecnico.

Il punto critico, nella pratica quotidiana, è la gestione degli aggiornamenti. Nelle installazioni gestite centralmente (pacchetti MSI distribuiti via Intune, SCCM o strumenti analoghi) l'auto-update per l'utente è spesso disattivato per policy: significa che, senza un intervento esplicito dell'IT, molte postazioni resteranno sulla versione vulnerabile per giorni o settimane. È lo scenario ideale per un attaccante che scansiona in massa la rete alla ricerca di client non aggiornati. Va inoltre ricordato che un account compromesso può diventare la leva per frodi via riunione — un falso dirigente che convoca una call, condivide istruzioni di pagamento o richiede dati riservati — con un livello di credibilità molto alto proprio perché l'identità utilizzata è autentica.

Il contesto normativo

Se l'attacco andasse a segno e coinvolgesse dati personali contenuti in chat, registrazioni o rubriche, si configurerebbe una violazione di dati personali ai sensi del GDPR: scatterebbero gli obblighi di valutazione e, nei casi con rischio per gli interessati, di notifica al Garante entro 72 ore (art. 33) ed eventuale comunicazione agli interessati (art. 34). Per i soggetti che rientrano nel perimetro NIS2, un incidente con impatto significativo va segnalato al CSIRT Italia secondo le tempistiche previste (pre-allarme entro 24 ore). Anche a prescindere dagli obblighi formali, questo caso è un promemoria del rischio legato agli strumenti di collaborazione: un software di terze parti installato ovunque è, a tutti gli effetti, parte della superficie d'attacco aziendale.

Cosa fare subito

  • Aggiornare Zoom Workplace alla versione 7.0.0 o successiva e i VDI Client for Windows alle versioni corrette (7.0.10, 6.6.15 o 6.5.18 a seconda del ramo). La versione si verifica da Impostazioni → Profilo → Informazioni.
  • Nei parchi gestiti centralmente (MSI/Intune/SCCM), distribuire subito il pacchetto aggiornato senza affidarsi all'auto-update dell'utente, che potrebbe essere disabilitato.
  • Dove possibile, forzare gli aggiornamenti automatici del client e bloccare l'uso di versioni obsolete.
  • Attivare MFA e SSO sugli account Zoom e rivedere le sessioni attive, revocando quelle non riconosciute.
  • Monitorare accessi anomali, riunioni non pianificate e registrazioni non riconosciute come possibili segnali di account compromesso.
  • Inventariare tutte le postazioni su cui Zoom è installato, incluse quelle VDI, per non lasciare endpoint scoperti.

La buona notizia è che, non essendoci per ora sfruttamento attivo, esiste una finestra utile per correre ai ripari. La cattiva è che, con un difetto CVSS 9.8 sfruttabile senza interazione, quella finestra tende a chiudersi in fretta.