Vulnerabilidad en Zoom abre la ejecución remota de código

Una vulnerabilidad en Zoom permite la ejecución remota de código en plena llamada, y el dato incómodo es otro: el parche que la cierra existía desde febrero. Agentes autónomos de la firma Neo lo destaparon al revisar el cliente que millones de personas abren cada mañana, y la prueba funcionó en Windows, macOS, iOS y Android.

El componente señalado se llama pjproject, una librería de código abierto que Zoom integra dentro de su módulo de comunicaciones zSipSdk. La versión instalada era la 2.14.1, anterior a la corrección de la CVE-2026-25994, un desbordamiento de búfer con nota 9,8 sobre 10 en la escala CVSS. Neo publicó el informe completo este 12 de noviembre y lo anunció con un comunicado fechado en Boston.

Un parche de febrero que nunca llegó al cliente

Dentro de pjproject 2.17 viene el arreglo original, publicado el 11 de febrero de 2026. El fallo vive en la función que arma la lista de comprobación de la sesión ICE, el mecanismo que negocia la conexión directa entre dos extremos de una llamada. Esa función copiaba las credenciales de la sesión en un búfer fijo de 128 bytes sin comprobar el largo del texto recibido.

La corrección amplió ese espacio a 512 bytes y agregó una validación que rechaza credenciales demasiado largas. Siete meses pasaron entre ese arreglo público y el hallazgo dentro de Zoom. Shlomi Salem, cofundador de Neo, lo resumió con una frase seca en el comunicado: una corrección que existe en el proyecto original no es una corrección en el aparato del usuario.

El ataque usa el campo de credenciales ICE que un participante envía al negociar la llamada. Neo armó una prueba con un valor de 600 bytes: el búfer de 128 se desborda y la dirección de retorno queda sobrescrita con datos del atacante. En una llamada de Zoom Phone entre dos extremos, la infraestructura de Zoom reenvía ese valor intacto al otro participante.

La demostración se repitió en clientes reales de las cuatro plataformas. En macOS y en iOS el registro del fallo muestra la dirección de retorno sustituida por el patrón del ataque; en Windows, el depurador capturó la misma sobrescritura.

Pasar del choque a ejecutar órdenes queda en manos de la habilidad del atacante, y la propia Neo marca esa distancia. El primitivo de corrupción de memoria quedó probado, con la dirección de retorno dominada por completo: esa es la pieza que un exploit necesita para correr código ajeno en el equipo que recibe la llamada.

Con código arbitrario corriendo en el equipo de la víctima, el atacante manda: puede leer archivos, capturar credenciales guardadas o dejar instalado un programa espía que sobreviva a la llamada. Por eso la nota 9,8 pesa más que un simple cierre inesperado de la aplicación.

pjproject no vive solo dentro de Zoom. La librería se incrusta en teléfonos de voz sobre IP, puertas de enlace de llamadas e intercomunicadores con video, y cualquier producto que la lleve en una versión previa a la 2.17 carga el mismo fallo con la misma nota 9,8. La diferencia es que esos equipos rara vez reciben actualizaciones con la rapidez de un programa de escritorio.

Agentes que leen programas cerrados sin código fuente

Neoverse, el motor de Neo, trabaja sin acceso al código fuente: descompone el programa instalado, identifica cada librería integrada con su versión exacta y comprueba si un fallo conocido queda alcanzable desde una entrada remota.

La firma afirma que su plataforma ya emitió veredictos de seguridad sobre más de 4 millones de aplicaciones con inteligencia artificial. En este caso, el agente trazó la ruta completa desde la recepción de los datos de la llamada hasta la función vulnerable, y un equipo humano confirmó la ruta con la prueba de choque.

El aviso a Zoom llegó el 30 de agosto. La respuesta fue rápida: acuse de recibo al día siguiente, confirmación del hallazgo el 10 de septiembre, clientes corregidos para Windows y Mac el 18 de septiembre y para iOS y Android el 24 de septiembre. Veinticinco días entre el reporte y el cierre en las cuatro plataformas, con boletín de seguridad publicado por la propia Zoom.

Quedan expuestas las instalaciones con versiones anteriores a la 7.2.0 en cualquiera de las cuatro plataformas. La medida es directa: actualizar Zoom a la 7.2.0 o una versión posterior. El caso se suma a una semana cargada para la plataforma, que el 11 de noviembre corrigió además el fallo crítico en Zoom Workplace que permitía subir privilegios sin cuenta en Windows, un problema distinto, con otra raíz y otro arreglo.

Un detalle deja tarea pendiente en muchas oficinas: la política de versión mínima de Zoom permite entrar a reuniones con clientes desde la 6.0.2, muy por debajo de la 7.2.0 que cierra esta vulnerabilidad en Zoom. Cumplir el mínimo para conectarse y estar protegido son dos cosas distintas, y entre ambas quedan los equipos que nadie actualiza porque la llamada, al fin y al cabo, entra igual.

Fuente: Neo Security