Der Videokonferenz-Anbieter Zoom hat mehrere Sicherheitslücken geschlossen, von denen eine als besonders kritisch eingestuft wird. Berichten zufolge ermöglichte eine Schwachstelle in der Anmerkungsfunktion das Einschleusen von Schadcode auf Mobilgeräten. Da die Einschätzung der Gefahrenlage zwischen Sicherheitsforschern und dem Unternehmen divergiert, wird Nutzern eine sofortige manuelle Aktualisierung ihrer Anwendungen nahegelegt.
Schwachstellen in der Annotationsfunktion identifiziert
Im Zentrum der Sicherheitswarnungen stehen insgesamt vier Schwachstellen. Die schwerwiegendste unter ihnen wird unter der Kennung CVE-2026-53413 geführt und weist einen CVSS-Wert von 8,3 auf. Dieser Pufferüberlauf tritt in der Komponente „CAnnoFormatBlock::Deserialize“ innerhalb der Annotationsfunktion auf. Ebenfalls mit einem CVSS-Wert von 8,3 wurde die Lücke CVE-2026-53415 bewertet, bei der es sich um einen sogenannten Use-after-free-Fehler handelt.
Zusätzlich wurden zwei weitere Schwachstellen adressiert: CVE-2026-53414, die mit einem Wert von 6,5 eingestuft wird und Denial-of-Service-Angriffe (DoS) ermöglicht, sowie CVE-2026-53416. Letztere betrifft den VDI-Client mit einem CVSS-Wert von 7,1 und basiert auf einer Path-Traversal-Schwachstelle. Die Tragweite dieser Entdeckungen wird dadurch unterstrichen, dass Sicherheitsanalysten von A Security den zugrundeliegenden Exploit als auf nationalstaatlichem Niveau befindlich einstuften.
KI-gestützte Entdeckung und Kontroverse um Zero-Click-Status
Die Identifizierung der Schwachstellen erfolgte durch A Security unter Einsatz von künstlicher Intelligenz. Den Angaben zufolge gelang die Entdeckung in weniger als 24 Stunden und mit einem Aufwand von weniger als 20 Prompts. Dies verdeutlicht die zunehmende Geschwindigkeit, mit der komplexe Softwarefehler heute mithilfe automatisierter Verfahren aufgespürt werden können.
Ein wesentlicher Diskussionspunkt zwischen dem Softwarehersteller und den Entdeckern bleibt die Art der Ausnutzung. Während A Security die Sicherheitslücke als Zero-Click-Exploit einstuft – also als einen Angriff, der ohne jegliche Interaktion des Opfers auskommt –, vertritt Zoom eine andere Position. Das Unternehmen bewertet eine Nutzerinteraktion weiterhin als erforderlich, um die Schwachstelle erfolgreich auszunutzen. Bisher liegen jedoch keine Erkenntnisse über eine aktive Ausnutzung der Lücken in freier Wildbahn vor.
Angesichts der Entdeckung kritischer Sicherheitslücken auf Mobilgeräten wird deutlich, wie wichtig ein gezielter Schutz für das Smartphone ist. Dieser kostenlose Ratgeber zeigt Ihnen fünf einfache Schritte, mit denen Sie Ihr Gerät sofort gegen Hacker und Datenmissbrauch absichern können. 5 Schutzmaßnahmen für Ihr Smartphone jetzt entdecken
Betroffene Systeme und Zeitplan der Fehlerbehebung
Die Sicherheitslücken erstrecken sich über eine breite Palette von Zoom-Produkten und Betriebssystemen. Betroffen sind unter anderem Zoom Workplace in Versionen vor 7.1.5 beziehungsweise 7.0.6 sowie der VDI-Client vor den Versionen 7.0.11 oder 6.6.16. Auch Plugins, Zoom Rooms und das Meeting SDK auf den Plattformen Windows, macOS, Linux sowie den mobilen Betriebssystemen Android und iOS weisen die Schwachstellen in älteren Versionen auf.
Der Prozess der Fehlerbehebung begann bereits im Frühsommer. Nachdem die Schwachstellen am 8. Juni entdeckt und zwei Tage hinterher gemeldet worden waren, rollte Zoom schrittweise Schutzmaßnahmen aus. Ein erster Client-Patch (Version 7.1.0) wurde am 22. Juni bereitgestellt, gefolgt von serverseitigen Schutzmaßnahmen am 15. Juli. Die vollständige Behebung durch die Version 7.1.5 erfolgte schließlich am 20. Juli.
Wer sich mit der Sicherheit seiner mobilen Anwendungen befasst, sollte auch die grundlegenden System-Updates nicht dem Zufall überlassen. Erfahren Sie in diesem kostenlosen Experten-Report, wie automatische Sicherheits-Updates Ihr Gerät rund um die Uhr vor bekannten Schwachstellen schützen. Kostenlosen Android-Sicherheits-Report herunterladen
Da die Installation der Sicherheits-Updates nicht in allen Fällen automatisch erfolgt, weist der Anbieter darauf hin, dass Anwender die Aktualisierung ihrer Software manuell anstoßen müssen, um die Geräte vor potenziellen Angriffen zu schützen.
