TL;DR: Zoom ha corretto vulnerabilità critiche nella funzione di annotazione. Per una PMI il controllo utile non è chiedere “avete l’auto-update?”, ma verificare la versione installata su ogni dispositivo. Aggiorna Zoom Workplace almeno alla versione 7.1.5, controlla un campione dopo il rollout e disabilita temporaneamente le annotazioni per chi non può aggiornare subito.
Un aggiornamento dichiarato non è un aggiornamento installato. Computer spenti, account senza privilegi, client VDI e dispositivi mobili possono restare indietro anche quando l’aggiornamento automatico è attivo.
Il caso “Zoomsday” rende il problema concreto. Il bollettino ufficiale ZSB-26015 di Zoom indica vulnerabilità nella gestione delle annotazioni e richiede, per Zoom Workplace sulle piattaforme supportate, almeno le versioni 7.1.5 o 7.0.6 nei rispettivi rami. La ricerca è stata assistita da modelli AI pubblici: secondo A Security, sono bastati meno di 20 prompt e meno di 24 ore per arrivare dalla ricerca al proof of concept.
Il problema pratico: l’inventario mente per omissione
La dashboard di gestione può dire che il pacchetto è stato distribuito. Non dimostra che ogni endpoint lo abbia ricevuto, installato e avviato. Questo vale per Zoom come per browser, plugin WordPress e agenti desktop: il gate deve leggere lo stato reale, non l’intenzione del sistema.
La soluzione: versione minima, prova, contenimento
- Definisci la versione minima. Per Zoom Workplace usa il ramo applicabile indicato nel bollettino: 7.1.5 o 7.0.6. VDI Client, Zoom Rooms e Meeting SDK hanno soglie diverse: non riutilizzare lo stesso numero per prodotti differenti.
- Forza l’aggiornamento. Distribuisci il client con MDM, RMM o lo strumento già usato dall’azienda. Dai una scadenza breve e identifica i dispositivi offline.
- Verifica dopo il rollout. Controlla la versione dall’app su un campione di Windows, macOS e mobile. Se gestisci molti endpoint, esporta l’inventario e segnala tutto ciò che resta sotto soglia.
- Contieni le eccezioni. Se un gruppo non può aggiornare subito, disabilita le annotazioni dei partecipanti nelle riunioni interessate e limita l’accesso finché il client non è conforme.
Lo stesso schema migliora anche la sicurezza dell’infrastruttura AI agentica: requisito misurabile, verifica sul sistema servito, contenimento delle eccezioni. Non basta scrivere una policy.
L’errore da evitare
Non trasformare la notizia in una caccia manuale all’exploit e non incollare prompt o proof of concept su dispositivi aziendali. L’AI ha ridotto il tempo necessario per analizzare il bug; non riduce il rischio di eseguire codice che non hai isolato. Per una PMI, la risposta corretta è patch management verificabile.
Take finale
La velocità dell’attacco è cambiata. Il controllo difensivo deve cambiare di conseguenza: meno fiducia nell’auto-update, più prove sulla versione realmente in esecuzione. Se non puoi misurare chi è rimasto indietro, non hai completato l’aggiornamento.