Zoomsday: hoe AI een kritieke zero-click kwetsbaarheid in Zoom ontdekte in minder dan een dag

Oorzaak: Een ontbrekende grenzencontrole (bounds check) in de annotatorfunctie van Zoom-clients zorgt voor een buffer over-write. Zoom reserveerde vier vaste buffers van 128 bytes voor het verwerken van tekstannotaties, maar controleerde de invoerlengte niet goed, waardoor een overflow mogelijk werd.

Aanvalsvector: Een aanvaller die al deelnam aan een vergadering (tijdens het delen van een scherm met annotatie ingeschakeld) kon stilletjes code uitvoeren op het apparaat van een andere deelnemer – zonder dat het slachtoffer ook maar één klik hoefde te doen.

Ernstclassificatie: CVSS 9.0 (Kritiek) volgens CVSS v4.0, en CVSS 9.8 volgens v3.x. Zoom’s eigen beveiligingsbulletin classificeerde het als ‘Hoog’ risico.

Gerelateerde CVEs in dezelfde patch: CVE-2026-53414 (elevatie van bevoegdheden) en CVE-2026-53415 (een tweede zero-click RCE in de annotatie-engine).

Hoe werd Zoomsday in minder dan 24 uur door AI ontdekt?

Onderzoekers van A Security, een bedrijf dat gespecialiseerd is in autonome offensieve beveiliging, gebruikten openbare AI-modellen om de fout te ontdekken en te bewapenen.

• Tijd tot exploit: Minder dan 24 uur.
• Aantal prompts: Minder dan 20 prompts op openbare AI-modellen.
• Proces: De AI analyseerde Zoom’s deserialisatielogica voor annotaties, identificeerde de ontbrekende grenzencontrole en genereerde een werkende exploitatietrein – zonder dat een mens de binaire code handmatig hoefde te reverse-engineeren. Senior Vulnerability Researcher Idan Levcovich van A Security vertelde aan SC Media dat het team specifiek met Anthropic’s Claude Opus 4.7 en Opus 4.8 modellen werkte.
• Tijdlijn van de ontdekking: De kwetsbaarheden werden op 8 juni 2028 ontdekt, met een werkende exploit tegen Zoom 7.0.5 de volgende dag. De bevindingen werden op 10 juni privé aan Zoom gemeld.

Welke platforms en versies waren getroffen?

De kwetsbaarheid trof alle native Zoom-clients op elk belangrijk platform.

Zoom Rooms voor Windows waren ook getroffen tot specifieke versie-updates. Zoom wordt gebruikt door ongeveer 70% van de Fortune 100, wat de fout een zeer breed potentieel bereik geeft.

Wanneer werd het gepatcht?

Zoom publiceerde het beveiligingsbulletin (ZSB-26015) en rolde de patches uit op 11 augustus 2028. Clientfixes werden al in juni en juli uitgerold, ongeveer twee maanden voordat de fouten openbaar werden gemaakt. Er is tot op heden geen misbruik gemeld.

De kwetsbaarheid bestond in alle versies tot en met 7.0.5. Gepatchte versies zijn Zoom client 7.1.5 en 7.0.6 voor alle platforms. Zoom Rooms en Zoom Meeting SDK vereisen versie 7.1.0 of later.

Brede implicaties: AI-versnelde ontdekking overtreft patchmanagement

De onthulling van Zoomsday heeft grote zorgen veroorzaakt in de beveiligingsindustrie. De onderzoekers beschreven het als een ‘waarschuwingsschot’ – als AI-modellen op een goedaardige manier kritieke fouten kunnen vinden en bewapenen, kunnen kwaadwillende actoren dat op dezelfde snelheid doen.

Snelheidsasymmetrie: Een AI kan een kritieke zero-click RCE in minder dan 24 uur vinden en bewapenen met minder dan 20 prompts, maar de patchcyclus van een leverancier – zelfs een snelle – duurt dagen tot weken om te ontwikkelen, testen en uit te rollen over alle platforms.

Democratisering van geavanceerde exploitatie: Vroeger zou dit werk een natiestaat maanden hebben gekost en miljoenen dollars hebben gekost. AI maakt het toegankelijk voor iedereen met toegang tot een geavanceerd model.

Zero-click versterking: Omdat de exploit geen gebruikersinteractie vereist, omzeilt het de meeste verdedigingsmaatregelen op gebruikersniveau en legt het de volledige last bij patchmanagement en netwerkcontroles.

Verkleining van het patchvenster: De kloof tussen het ontdekken van een kwetsbaarheid (door onderzoekers of aanvallers) en het beschikbaar zijn van een fix krimpt naar nul. Organisaties die Zoom niet binnen enkele uren kunnen updaten – zoals afgeschermde omgevingen, gereguleerde industrieën of grote bedrijven met wijzigingscommissies – lopen steeds meer risico.

Probleem in de toeleveringsketen: De kwetsbaarheid zat in Zoom’s eigen annotatieprotocol, dat op elke client aanwezig is. Een aanvaller met AI had stilletjes elke deelnemer in één vergadering kunnen compromitteren – waardoor samenwerkingstools massale inzetvectoren worden.

Zoomsday is een duidelijk bewijs dat AI de snelheid van het ontdekken van kwetsbaarheden fundamenteel heeft veranderd. De beveiligingsindustrie moet nu onder ogen zien dat aanvallers AI al hebben omarmd, maar de patchcyclus nog niet.