Bug Anotasi Layar Zoom Izinkan Peretas Ambil Alih Perangkat via AI
Peneliti keamanan siber baru saja mengungkap celah kritis pada aplikasi Zoom Workspace yang memungkinkan peretas mengambil alih perangkat pengguna secara penuh—tanpa interaksi korban dan tanpa peringatan visual apa pun. Yang lebih mengkhawatirkan, kerentanan ini ditemukan menggunakan kurang dari 20 prompt AI dalam waktu kurang dari 24 jam, menandai era baru di mana serangan siber tingkat negara kini bisa dilakukan oleh siapa saja dengan akses ke model AI publik.
Celah pada Fitur Anotasi Layar Berikan Akses Penuh ke Perangkat Korban
Kerentanan ini bersarang pada protokol yang digunakan untuk mendukung fitur anotasi real-time saat pengguna berbagi layar dalam meeting Zoom. Menurut firma keamanan siber A Security yang menemukan bug tersebut pada awal Juni 2026, seorang penyerang bisa bergabung atau menjadi host dalam meeting, kemudian menjalankan kode berbahaya di perangkat korban begitu fitur anotasi diaktifkan. Serangan ini tidak memerlukan tindakan apa pun dari korban dan tidak menampilkan tanda visual yang mencurigakan.
Dampak dari eksploitasi ini sangat serius. Peretas yang berhasil memanfaatkan celah ini bisa mencuri data sensitif, mengaktifkan kamera atau mikrofon tanpa sepengetahuan korban, bahkan memasang malware untuk akses jangka panjang. Lebih jauh lagi, akses awal ini bisa dimanfaatkan untuk melakukan lateral movement dalam jaringan perusahaan, membuka pintu bagi serangan yang lebih luas dan merusak.
Yang menarik dari pendekatan peneliti adalah fokus mereka pada komponen anotasi layar—fitur yang rumit namun kurang mendapat perhatian dalam audit keamanan. Seperti halnya pemburu bug berpengalaman, sistem AI mereka dilatih untuk menyelidiki fungsi-fungsi yang kompleks dan tidak umum, karena area-area semacam ini sering mengandung kerentanan yang terlewatkan. Hal ini terutama berlaku untuk software bersifat closed-source dan proprietary seperti Zoom, di mana meskipun perusahaan melakukan tinjauan kode yang ekstensif, tanpa manfaat tinjauan publik yang terbuka, fitur-fitur esoterik namun kompleks seperti anotasi lebih mungkin mengandung kesalahan.
AI Turunkan Barrier Serangan Siber Kompleks
Yang membuat temuan ini semakin mengkhawatirkan adalah cara bug tersebut ditemukan. Idan Levcovich, peneliti kerentanan di A Security, menjelaskan bahwa timnya menggunakan model AI yang tersedia secara publik dengan kurang dari 20 prompt untuk menemukan kerentanan dan mengembangkan eksploitasi yang berfungsi penuh—semuanya dalam waktu kurang dari sehari. “Menghasilkan eksploitasi yang berfungsi terhadap celah semacam ini dulunya adalah pekerjaan tingkat negara: tim elit, upaya berbulan-bulan, anggaran yang diatur pemerintah sebagai senjata,” tulis Levcovich dalam blog post perusahaan. “A Security melakukannya dalam satu hari, dengan agen AI dan model yang bisa diakses siapa saja hari ini.”
Omer Gull, salah satu pendiri A Security, menekankan bahwa demokratisasi kemampuan ini adalah ancaman nyata. Sebelumnya, menemukan dan mengeksploitasi bug kompleks semacam ini membutuhkan tim beranggotakan lima orang dengan waktu pengerjaan sekitar enam bulan. Kini, siapa pun dengan akses ke AI publik bisa mencapai hasil serupa dengan usaha minimal. Gull juga menyoroti bahwa Zoom adalah target yang sangat menarik karena pengguna cenderung menurunkan kewaspadaan saat bergabung dalam meeting—mereka tidak melihat platform ini sebagai ancaman. Kepercayaan ini berlaku baik untuk urusan pribadi maupun profesional seperti webinar dan acara semipublik lainnya, di mana orang-orang biasanya lebih santai dalam menjaga keamanan mereka.
Zoom Rilis Perbaikan, Pengguna Diminta Segera Update
Zoom merespons temuan ini dengan menerbitkan peringatan keamanan pada hari Selasa dan merilis perbaikan untuk menutup celah tersebut. Perusahaan mengeluarkan patch baik di sisi server maupun sisi klien untuk mengatasi kerentanan pada protokol anotasi. Bug ini memengaruhi Zoom Workspace di semua sistem operasi yang didukung platform tersebut, termasuk Windows, macOS, Linux, iOS, dan Android. Zoom menyarankan agar pengguna segera memperbarui aplikasi mereka ke versi terbaru untuk memastikan perlindungan maksimal. Kerentanan ini ada di semua versi Zoom Workspace sebelum pembaruan terbaru diluncurkan.
Meski belum ada bukti bahwa kerentanan ini pernah dieksploitasi di dunia nyata, temuan ini menjadi pengingat penting akan risiko keamanan yang terus berkembang seiring kemajuan teknologi AI. Kebetulan, Apple juga baru saja merilis pembaruan keamanan untuk macOS—termasuk Tahoe 26.6.1, Sequoia 15.7.9, dan Sonoma 14.8.9—untuk menutup celah serupa pada fitur Screen Sharing yang memungkinkan penyerang dalam jaringan yang sama untuk melewati autentikasi dan mendapatkan akses tanpa kredensial valid. Kedua insiden ini menunjukkan bahwa era di mana AI menurunkan barrier entry untuk serangan siber tingkat lanjut telah tiba, dan perusahaan serta pengguna harus lebih waspada dari sebelumnya.
