Si usas Zoom para reuniones de trabajo, clases online o para hablar con la familia, toca dedicarle dos minutos al botón de actualizar. La vulnerabilidad de Zoom que se hizo pública el 11 de agosto de 2026, bautizada como Zoomsday, permitía que otro participante de la misma reunión ejecutara código en tu ordenador o en tu móvil sin que tú tocaras nada. Ni un clic, ni una descarga, ni un enlace sospechoso. Bastaba con estar en la llamada.
La buena noticia es que Zoom ya ha publicado los parches. La mala es que, mientras no actualices, sigues expuesto. Y aquí el que tiene que mover ficha eres tú, porque el cliente de escritorio no siempre se actualiza solo.
Qué es Zoomsday y por qué esta vulnerabilidad de Zoom es distinta
El fallo principal está catalogado como CVE-2026-53413 y Zoom lo clasifica como de severidad alta, con una puntuación CVSS de 8.3. Lo describe como una comprobación de límites que faltaba en la función de anotación de sus clientes, y que permite sobrescribir memoria más allá del espacio reservado. Traducido: se puede colar código donde no debería haberlo.
Lo que lo hace especialmente feo es la etiqueta zero-click. La mayoría de ataques necesitan que la víctima colabore sin saberlo: que abra un adjunto, que pinche en un enlace, que instale algo. Aquí no hay nada de eso. Un asistente malicioso envía datos manipulados dentro de la propia reunión y el cliente de la víctima los procesa solo. Los investigadores lo resumieron diciendo que se podía tomar el control completo del dispositivo de otro usuario durante una llamada en directo.
No viaja solo. En los mismos boletines aparecen tres fallos más en el mismo componente:
- CVE-2026-53414: lectura fuera de límites que deja tumbar el cliente de otro participante, es decir, denegación de servicio.
- CVE-2026-53415: uso de memoria después de liberarla en la función de anotación, con punteros que controla el atacante.
- CVE-2026-53416: recorrido de rutas que puede acabar en filtración de información.
Todo esto quedó recogido en los boletines de seguridad ZSB-26015 a ZSB-26018, publicados el 11 de agosto. El registro oficial se puede consultar en la ficha del CVE Program para CVE-2026-53413.
Cómo funciona el ataque: la culpa la tiene el lápiz de anotar
La herramienta de anotación de Zoom es esa que te deja pintar flechas y escribir sobre una pantalla compartida. Suena inofensivo, y ahí está la gracia del asunto. La biblioteca que se encarga de interpretar esas anotaciones procesa objetos serializados que llegan desde otros participantes, y no validaba correctamente su tamaño.
El detalle técnico es casi de manual: un búfer de tamaño fijo de 128 bytes aceptando contadores de caracteres de 32 bits. Si el atacante manda un objeto de anotación con un contador desproporcionado, los datos se desbordan sobre la memoria contigua, corrompen estructuras de control del programa y abren la puerta a ejecutar código arbitrario. Como prueba de concepto, los investigadores llegaron a lanzar Safari en un macOS ajeno desde dentro de una reunión.
¿Y quién puede hacer esto? Cualquiera que esté dentro de la reunión. Si tus salas son públicas, si compartes el enlace en un grupo grande o si trabajas con clientes que se unen sin verificar, el escenario deja de ser teórico bastante rápido.
Qué versiones están afectadas y a cuáles hay que ir
El problema afecta a los clientes nativos en todas las plataformas: Windows, macOS, Linux, Android e iOS. Estas son las versiones a partir de las cuales estás cubierto, según el boletín del fabricante:
| Producto | Versión corregida |
|---|---|
| Zoom Workplace (escritorio y móvil) | 7.1.5 (o 7.0.6 en la rama antigua) |
| Zoom Workplace VDI Client para Windows | 7.0.11 y 6.6.16 |
| Zoom Rooms | 7.1.0 |
| Zoom Meeting SDK | 7.1.0 |
Puedes contrastar las versiones exactas en el boletín de seguridad ZSB-26015 publicado por Zoom. Si administras equipos de una empresa, mira también la rama VDI: es la que más se suele quedar atrás porque depende del departamento de sistemas y no del usuario.
Cómo actualizar Zoom paso a paso
En Windows y macOS: abre el cliente, pulsa en tu foto de perfil arriba a la derecha y elige «Buscar actualizaciones». Si aparece una versión nueva, instálala y reinicia la aplicación. Comprueba después el número de versión desde el mismo menú, en «Acerca de Zoom».
En Android: entra en Google Play, ve a tu perfil, «Gestionar apps y dispositivo» y actualiza Zoom desde ahí. En iPhone y iPad, lo mismo desde la App Store tocando tu cuenta y bajando hasta la lista de actualizaciones pendientes.
Si gestionas una organización, lo suyo es forzar una versión mínima desde el panel de administración, en lugar de confiar en que cada empleado lo haga por su cuenta. El INCIBE lleva años repitiendo el mismo consejo en su aviso sobre actualizar Zoom a la última versión, y sigue siendo el resumen más corto y más útil de todo esto.
Lo que más ruido ha hecho: la IA encontró el fallo en un día
Hay una segunda capa en esta historia que va más allá del parche. El fallo lo descubrió Idan Levcovich, investigador de la firma A Security, mientras analizaba el cliente de Android. La cronología es de vértigo: lo encontró el 8 de junio, tenía un exploit funcionando contra la versión 7.0.5 el día 9 y avisó a Zoom en privado el 10. Tres días de principio a fin.
La compañía reconoce que buena parte del trabajo de ingeniería inversa lo hicieron con ayuda de modelos de IA disponibles públicamente, que sirvieron para ordenar qué funciones nativas merecían atención, reconstruir el protocolo propietario de anotación y localizar operaciones de memoria inseguras. Un trabajo que antes llevaba semanas se resolvió con menos de veinte instrucciones bien planteadas.
Esto corta por los dos lados, claro. La misma herramienta que ayuda a un investigador a encontrar un agujero antes de que lo encuentre alguien con malas intenciones también rebaja la barrera de entrada para quien quiera buscarlo con otro objetivo. Es el mismo debate que arrastra el sector desde que la IA se metió en cada rincón del software, incluidas las novedades presentadas en el Made by Google 2026.
¿Hay motivo real para preocuparse?
Con la información disponible ahora mismo, no hay constancia pública de que el fallo se haya llegado a explotar contra usuarios reales antes del parche. Los investigadores avisaron en privado y Zoom aplicó incluso mitigaciones en servidor antes de sacar la corrección en los clientes. Ese es el guion que uno quiere ver en una divulgación responsable.
Dicho esto, con el fallo ya publicado y descrito con detalle, la ventana de oportunidad para quien no actualice se abre en vez de cerrarse. Un par de costumbres que compensa recuperar: activa la sala de espera en tus reuniones, no publiques los enlaces en abierto y, si administras la cuenta, valora desactivar las anotaciones para los asistentes en las sesiones donde no aportan nada. Y ya que estás repasando la seguridad de lo que tienes en casa, échale un ojo al firmware de tus cámaras de vigilancia wifi como la Tapo C210, que suelen arrastrar exactamente el mismo problema: nadie las actualiza nunca.
Preguntas frecuentes sobre la vulnerabilidad de Zoom
¿Cómo sé qué versión de Zoom tengo instalada?
En el cliente de escritorio, pulsa tu foto de perfil y entra en «Acerca de Zoom». Ahí aparece el número completo. En el móvil lo verás dentro de Ajustes, en la sección «Acerca de». Si el número es inferior a 7.1.5, o a 7.0.6 en la rama antigua, actualiza.
¿Me afecta si entro a las reuniones desde el navegador?
Los boletines de Zoom listan clientes de escritorio y móvil, Zoom Rooms, la versión VDI y el SDK de reuniones. El cliente web no figura entre los productos afectados. Aun así, entrar desde el navegador no te libra de otros riesgos, así que conviene tenerlo al día, sea cual sea de los navegadores más utilizados el que tengas instalado.
¿Basta con cerrar y abrir Zoom para estar protegido?
No. Reiniciar la aplicación no descarga la corrección por sí sola. Tienes que instalar la actualización de forma explícita desde el propio cliente o desde la tienda de aplicaciones de tu móvil, y después reiniciar.
Actualiza hoy y sigue el resto de novedades en 8mejor.top
Resumiendo mucho: abre Zoom, busca actualizaciones, confirma que estás en la 7.1.5 o superior y sigue con tu día. Es de las pocas veces en las que un problema de seguridad serio se arregla en literalmente dos minutos, así que no lo dejes para la semana que viene.
En 8mejor.top seguimos de cerca este tipo de avisos y los productos a los que afectan. Si quieres profundizar, pásate por nuestras reviews de productos electrónicos, donde analizamos a fondo lo que merece la pena tener en casa y lo que no.
