A maioria das PMEs portuguesas usa o Zoom diariamente para reuniões com clientes e equipas, confiando que as suas contas estão seguras. Mas uma vulnerabilidade Zoom crítica descoberta em 2026 mostrou que essa confiança pode ser traída. Um atacante não autenticado pode assumir o controlo total de uma conta apenas com o endereço de email da vítima — e a atualização que resolve o problema já está disponível.
O que é e como funciona
Imagine que alguém consegue entrar na sua conta Zoom sem precisar da sua palavra-passe, apenas sabendo o seu email. É exatamente isso que esta falha permite. A vulnerabilidade Zoom reside no cliente de desktop para Windows e no kit de desenvolvimento de software (SDK) da plataforma. Um atacante pode enviar um pedido de rede especialmente manipulado para o cliente Zoom e, sem qualquer interação do utilizador, obter acesso à conta.
Na prática, isto significa que um criminoso pode juntar-se a reuniões privadas, aceder a gravações, ler mensagens do chat e até utilizar a conta para lançar ataques de phishing contra os contactos da vítima. A falha foi classificada como crítica pela própria Zoom, que lançou uma correção na versão 6.4.0 do software. A atualização é gratuita e está disponível para todos os utilizadores.
Ao contrário de muitas vulnerabilidades que exigem que a vítima clique num link ou descarregue um ficheiro, esta é explorável de forma completamente passiva. Basta que o atacante conheça o endereço de email associado à conta Zoom. Isto torna o risco particularmente elevado para empresas cujos emails são facilmente encontráveis em sites, assinaturas de email ou redes sociais.
O que diferencia das alternativas
Até agora, as falhas de segurança em ferramentas de videoconferência exigiam geralmente algum tipo de interação do utilizador — clicar num link malicioso, abrir um anexo ou aceitar um convite falso. Esta vulnerabilidade Zoom é diferente: não requer qualquer ação da vítima. O ataque é silencioso e pode passar completamente despercebido.
Outra diferença importante é a rapidez da resposta. A Zoom foi notificada da falha através de um programa de divulgação responsável e lançou uma correção em poucas semanas. Compare-se isto com outros fabricantes que, por vezes, demoram meses a resolver problemas semelhantes. A empresa também publicou um aviso de segurança detalhado, permitindo que administradores de TI compreendam o risco e atuem rapidamente.
No entanto, a vulnerabilidade afeta apenas o cliente Windows. Utilizadores de Mac, Linux ou das versões web e móvel não estão em risco. Isto pode criar uma falsa sensação de segurança em ambientes mistos, onde a atualização de todos os dispositivos Windows pode ser negligenciada.
O que isto significa para PMEs portuguesas
Para uma PME portuguesa que depende do Zoom para reuniões com clientes, apresentações de vendas ou suporte ao cliente, uma conta comprometida pode significar acesso a informações confidenciais, interrupção de serviços e danos à reputação. Imagine um concorrente a assistir a uma reunião de estratégia ou um criminoso a gravar uma negociação de contrato. As consequências podem ser devastadoras.
A boa notícia é que a mitigação é simples: atualizar o Zoom para a versão 6.4.0 ou superior em todos os computadores Windows da empresa. Não há custos adicionais, não é preciso subscrever planos premium. Se a sua empresa ainda não tem uma política de atualização de software, talvez seja altura de considerar uma consultoria estratégica que ajude a definir processos de segurança e a proteger o seu negócio de ameaças semelhantes.
Para empresas com vários postos de trabalho, o esforço de atualização pode ser coordenado pelo responsável de TI ou, na sua ausência, por um prestador de serviços externo. O importante é não adiar: cada dia sem a correção é uma janela de oportunidade para atacantes.
O erro que a maioria comete
Muitas empresas assumem que as atualizações automáticas estão ativas e que não precisam de verificar manualmente. Mas no caso desta vulnerabilidade Zoom, a atualização pode não ser aplicada automaticamente em todos os sistemas, especialmente em ambientes com políticas de TI restritivas ou onde o Zoom foi instalado com permissões limitadas. O erro é confiar que “alguém tratou disso” sem confirmar. Outro erro comum é subestimar o risco porque “somos uma empresa pequena, ninguém nos vai atacar”. A verdade é que os atacantes automatizam a exploração de falhas como esta, visando indiscriminadamente qualquer conta vulnerável.
Riscos e limitações
Apesar da correção estar disponível, há riscos para quem não atualizar imediatamente. A falha foi descoberta por investigadores externos, o que significa que pode já ter sido explorada antes da divulgação pública. Além disso, a vulnerabilidade afeta apenas a versão Windows do Zoom; utilizadores de outros sistemas operativos não estão em risco, mas isso não deve servir de desculpa para ignorar a atualização nos equipamentos Windows.
Outra limitação é que a atualização resolve a falha específica, mas não elimina a necessidade de boas práticas de segurança, como a utilização de autenticação de dois fatores e a monitorização de acessos suspeitos. Como explicamos no nosso guia de cibersegurança para negócios digitais, a prevenção é sempre mais barata do que a remediação.
Veredito Descomplicar®
Se a sua PME usa Zoom no Windows, a atualização é obrigatória e urgente. Não há desculpa para adiar. Felizmente, o processo é simples e a Zoom disponibilizou instruções claras. Para empresas que dependem de videoconferência, este episódio reforça a necessidade de uma estratégia de cibersegurança que vá além do básico — e é aí que uma consultoria especializada pode fazer a diferença. A vulnerabilidade Zoom de 2026 é um lembrete de que a segurança digital não é um estado, mas um processo contínuo.
Fonte: Bleeping Computer