In den Videokonferenzlösungen von Zoom klaffen Sicherheitslücken, die Konferenzteilnehmern ermöglichen, anderen Teilnehmern Schadcode unterzuschieben, ohne dass diese interagieren müssen – eine sogenannte Zero-Klick-Schwachstelle. Angreifer können dadurch die vollständige Kontrolle der Geräte anderer User während eines Live-Gesprächs erlangen.
In ihrer Analyse schreiben die IT-Forscher von A Security, dass dazu kein Download, Klick oder Ähnliches von Opfern ausgeführt werden muss. Alle unterstützten Plattformen sind gleichermaßen betroffen: Android, iPhone, Linux, Mac und Windows. Die Schwachstelle haben die Mitarbeiter mithilfe von KI entdeckt, und neben diesem Trend folgen sie einem weiteren und vergeben den Lücken den Spitznamen „Zoomsday“, in Erinnerung an den „Doomsday“, auf Deutsch der „Tag des Jüngsten Gerichts“ respektive „Weltuntergang“. Das wirkt jedoch etwas übertrieben.
KI-beschleunigte Schwachstellensuche
Mit öffentlich zugänglichen KI-Modellen haben die IT-Forscher weniger als 24 Stunden und 20 Prompts benötigt, um den Fehler zu entdecken und einen funktionierenden Exploit zu entwickeln. Bei dem Fehler handelt es sich um Speicher-Zugriffsfehler in der Anmerkungsfunktion von Zoom. Durch das Senden manipulierter Anfragen an andere Zoom-Clients verarbeiten diese die Nachricht und überschreiben dabei Puffer im Speicher, was das Ausführen von eingeschleustem Code bei anderen Teilnehmern mit Netzwerkzugriff ermöglicht (CVE-2026-53413, CVSS 8.3, Risiko „hoch“). Gleiche Auswirkung hat eine Use-after-free-Lücke in der Anmerkungsfunktion, bei der Ressourcen verwendet werden, die zuvor freigegeben wurden und deren Inhalte damit undefiniert sind (CVE-2026-53415, CVSS 8.3, Risiko „hoch“).
