„Zoomsday“: Kritische Zero-Click-Lücke in Zoom per KI in weniger als 24 Stunden entdeckt

Ursache: Eine fehlende Bereichsprüfung in der Anmerkungsfunktion von Zoom-Clients ermöglicht einen Pufferüberlauf („buffer over-write“). Zoom reservierte vier feste 128-Byte-Puffer für die Deserialisierung von Textanmerkungen, validierte aber die Eingabelänge nicht ausreichend, was einen Überlauf erlaubte.

Angriffsvektor: Ein bereits in einem Meeting anwesender Angreifer (während einer aktiven Bildschirmfreigabe mit aktivierter Anmerkungsfunktion) könnte auf dem Gerät eines anderen Teilnehmers Code ausführen – das Opfer musste keinen einzigen Klick tätigen und bekam nichts mit.

Schweregrad: CVSS 9,0 (Kritisch) nach CVSS v4.0 und CVSS 9,8 nach v3.x. Zooms eigenes Sicherheitsbulletin bewertete die Schwachstelle als „Hoch“.

Verwandte CVEs im selben Patch: CVE-2026-53414 (Erhöhung von Privilegien) und CVE-2026-53415 (eine zweite Zero-Click-RCE in der Anmerkungs-Engine).

Wie entdeckte die KI „Zoomsday“ in weniger als 24 Stunden?

Forscher von A Security, einem Unternehmen für autonome offensive Sicherheit, nutzten öffentlich verfügbare KI-Modelle, um die Schwachstelle zu entdecken und auszunutzen.

• Zeit bis zum Exploit: Weniger als 24 Stunden.
• Anzahl der Eingabeaufforderungen: Weniger als 20 bei öffentlich verfügbaren KI-Modellen.
• Prozess: Die KI analysierte Zooms Deserialisierungslogik für Anmerkungen, identifizierte die fehlende Bereichsprüfung und generierte eine funktionierende Exploit-Kette – ohne dass ein Mensch die Binärdatei manuell reverse-engineeren musste. Idan Levcovich, Senior Vulnerability Researcher bei A Security, erklärte gegenüber SC Media, dass sein Team speziell mit den Modellen Claude Opus 4.7 und Opus 4.8 von Anthropic arbeitete.
• Zeitplan der Entdeckung: Die Schwachstellen wurden am 8. Juni 2026 entdeckt, ein funktionierender Exploit gegen Zoom 7.0.5 wurde am darauffolgenden Tag bestätigt. Die Ergebnisse wurden Zoom am 10. Juni privat gemeldet.

Welche Plattformen und Versionen waren betroffen?

Die Schwachstelle betraf alle nativen Zoom-Clients auf allen wichtigen Plattformen.

Auch Zoom Rooms für Windows war vor bestimmten Versionsupdates betroffen. Zoom wird von rund 70 % der Fortune-100-Unternehmen genutzt, was die potenzielle Reichweite der Schwachstelle enorm macht.

Wann wurde der Patch veröffentlicht?

Zoom veröffentlichte das Sicherheitsbulletin (ZSB-26015) und rollte die Patches am 11. August 2026 aus. Client-Fixes waren tatsächlich bereits im Juni und Juli ausgeliefert worden, etwa zwei Monate bevor die Schwachstellen öffentlich bekannt wurden. Es wurden keine Ausnutzungen gemeldet.

Die Schwachstelle existierte in allen Versionen bis einschließlich 7.0.5. Die korrigierten Versionen sind Zoom-Client 7.1.5 und 7.0.6 für alle Plattformen. Zoom Rooms und das Zoom Meeting SDK benötigen Version 7.1.0 oder höher.

Breitere Implikationen: KI-beschleunigte Entdeckung überholt Patch-Management

Die Veröffentlichung von „Zoomsday“ hat in der Sicherheitsbranche erhebliche Besorgnis ausgelöst. Die Forscher beschrieben den Fund als „Warnschuss“ – wenn moderne KI-Modelle kritische Schwachstellen auf diese Weise aufspüren und ausnutzen können, dann können es Angreifer in böser Absicht genauso schnell tun.

Geschwindigkeitsasymmetrie: Eine KI kann in weniger als 24 Stunden und mit weniger als 20 Eingabeaufforderungen eine kritische Zero-Click-RCE finden und bewaffnen, aber der Patch-Zyklus eines Anbieters – selbst wenn er schnell ist – dauert Tage bis Wochen, um die Korrektur zu entwickeln, zu testen und auf allen Plattformen zu verteilen.

Demokratisierung der fortgeschrittenen Ausnutzung: In der Vergangenheit hätte eine solche Arbeit einen Nationalstaat Monate und Millionen von Dollar gekostet. KI macht sie für jeden zugänglich, der Zugang zu einem modernen KI-Modell hat.

Zero-Click-Verstärkung: Da der Exploit keine Benutzerinteraktion erfordert, umgeht er die meisten benutzerseitigen Schutzmaßnahmen und verlagert die gesamte Last auf das Patch-Management und netzwerkseitige Kontrollen.

Komprimierung des Patch-Fensters: Die Lücke zwischen der Entdeckung einer Schwachstelle (durch Forscher oder Angreifer) und der Verfügbarkeit eines Fixes schrumpft gegen Null. Organisationen, die Zoom nicht innerhalb von Stunden aktualisieren können – wie beispielsweise abgeschottete Umgebungen, regulierte Branchen oder große Unternehmen mit Änderungskontrollgremien – sind zunehmend gefährdet.

Lieferkettenbedenken: Die Schwachstelle steckte in Zooms proprietärem Anmerkungsprotokoll, das auf jedem Client vorhanden ist. Ein KI-gestützter Angreifer hätte jeden Teilnehmer in einem einzigen Meeting stillschweigend kompromittieren können – und damit Kollaborationstools in Massenbereitstellungsvektoren verwandelt.

„Zoomsday“ zeigt eindringlich, dass KI die Geschwindigkeit der Schwachstellenforschung grundlegend verändert hat. Die Sicherheitsbranche muss sich nun einer neuen Realität stellen: Die Angreifer haben KI bereits übernommen – der Patch-Zyklus noch nicht.