Wenn du die Videokonferenzsoftware Zoom nutzt, solltest du sie zügig auf die neueste Version aktualisieren. Der Anbieter hat mehrere gefährliche Sicherheitslücken geschlossen. Eine davon erlaubt Angreifern, aus einem laufenden Meeting heraus Schadcode auf den Geräten anderer Teilnehmer auszuführen, und das offenbar ohne jede Nutzerinteraktion.
Ein Klick ist nicht nötig
Die Lücke ist als CVE-2026-53413 registriert, ihre Entdecker nennen sie Zoomsday. Sie gilt mit einem CVSS-Score von 8,3 als hohes Risiko. Ursache sind Schreibvorgänge außerhalb der vorgesehenen Grenzen eines Puffers. Beschrieben wird der Fehler als Zero-Click-Lücke, entdeckt wurde er mithilfe künstlicher Intelligenz und bereits am 10. Juni an Zoom gemeldet. Nach Angaben der Sicherheitsforscher von A Security ließ sich die Schwachstelle in unter 24 Stunden mit weniger als 20 Prompts bei öffentlich verfügbaren KI-Modellen aufspüren.
Die Lücke steckt in der Anmerkungsfunktion von Zoom, die auf einem proprietären Protokoll basiert. Abgesehen vom Beitritt zum Meeting muss ein Opfer nichts weiter tun. Der Angreifer kann das Zielgerät eigenständig kompromittieren, indem er speziell gestaltete Nachrichten an den Zoom-Client des anvisierten Teilnehmers sendet. Das Protokoll öffnet dabei einen direkten Kanal zwischen einem Betrachter und einem Teilnehmer, der Inhalte teilt, sodass sich jeder Teilnehmer einzeln ins Visier nehmen lässt. Sichtbare Anzeichen für den Angriff gibt es nicht, eine Kompromittierung kann also unbemerkt ablaufen.
Was Angreifer damit anrichten können
Sobald der Schadcode auf dem Gerät des Opfers läuft, kann ein Angreifer laut den Forschern unbemerkt persönliche Daten stehlen, Mikrofon oder Kamera einschalten, um das Ziel auszuspähen, oder weitere Schadsoftware installieren. Bei einer großen Telefonkonferenz bedeutet das im schlimmsten Fall: viele Ziele durch eine einzige Nachricht.
Patches für alle Zoom-Varianten
Anfällig sind alle gängigen Zoom-Clients für Windows, macOS, iOS, Android und Linux bis einschließlich Version 7.0.5. Einen vollständigen Patch für Zoom Workplace gibt es seit Juli mit den Versionen 7.1.5 und 7.0.6. Der Zoom Workplace VDI Client für Windows ist ab den Versionen 7.0.11 und 6.6.16 geschützt, bei Zoom Rooms und dem Zoom Meeting SDK wurde die Lücke jeweils mit Version 7.1.0 geschlossen. Dieselben Releases beheben zwei weitere von A Security entdeckte Lücken (CVE-2026-53414 und CVE-2026-53415). Eine davon beruht auf einem Use-after-free-Bug und erlaubt ebenfalls Codeausführung aus der Ferne, über die andere lässt sich die Software auf fremden Geräten zum Absturz bringen.