Im Zentrum der Zoom-Updates steht CVE-2026-53413. A Security, die die Schwachstelle entdeckte und „Zoomsday“ nannte, beschreibt sie als Speicherfehler in der Annotationsfunktion. Dadurch konnte ein Meeting-Teilnehmer Code auf dem System eines anderen Teilnehmers ausführen. Die Forscher nutzten dabei nach eigenen Angaben aus, dass jeder Zoom-Client eingehende Daten automatisch verarbeitet. Eine speziell präparierte Nachricht konnte den Speicher des empfangenden Clients beschädigen und so die Ausführung von Code ermöglichen.
A Security zufolge begünstigt das proprietäre Protokoll der Annotationsfunktion den Angriff zusätzlich, weil es einen direkten Kanal zwischen einem Betrachter und dem Freigebenden aufbaut. Ein Angreifer konnte so einzelne Teilnehmer gezielt ins Visier nehmen. Die Sicherheitsfirma erklärt, der Exploit erlaube es Angreifern, einem Meeting beizutreten oder es selbst zu hosten, jeden beliebigen Teilnehmer anzugreifen und dessen Rechner zu übernehmen – ohne erforderliche Benutzeraktion und ohne sichtbaren Hinweis auf die Kompromittierung.
Technisch geht CVE-2026-53413 auf eine fehlende Grenzprüfung im Text-Annotator zurück. Dadurch konnten präparierte Nachrichten Daten über den vorgesehenen Puffer hinaus schreiben und so Remotecodeausführung auslösen. A Security meldete außerdem CVE-2026-53414, ebenfalls eine fehlende Grenzprüfung in der Annotationsfunktion. Diese Lücke konnte für ein Buffer-Overread ausgenutzt werden und DoS-Angriffe gegen beliebige Meeting-Teilnehmer ermöglichen.
Auch CVE-2026-53415 wurde in der Annotationsfunktion gefunden. Dabei handelt es sich laut A Security um einen Use-after-free-Fehler. Nach der Meldung erfuhr das Unternehmen jedoch, dass Zoom die Schwachstelle bereits selbst entdeckt hatte. A Security erklärt, man habe mit der Veröffentlichung gewartet, damit Kunden Zeit erhalten, sowohl den Client-Patch als auch die serverseitige Gegenmaßnahme zu bekommen. Der nun veröffentlichte Beitrag folge diesem abgestimmten Zeitplan und erscheine parallel zur Vergabe der CVE-Nummern.
Zoom teilte am Dienstag mit, dass Workplace in den Versionen 7.1.5 und 7.0.6, Rooms in Version 7.1.5 sowie Meeting SDK in Version 7.1.5 für alle unterstützten Plattformen Korrekturen für alle drei Schwachstellen enthalten. Damit adressiert das Unternehmen CVE-2026-53413, CVE-2026-53414 und CVE-2026-53415.
Zusätzlich hat Zoom Workplace VDI Client für Windows in den Versionen 7.0.11 und 6.6.16 sowie Workplace VDI Plugins in den Versionen 7.0.11 und 6.6.15 für alle Plattformen aktualisiert. Diese Updates beheben CVE-2026-53416, eine Path-Traversal-Schwachstelle, die zu einer Offenlegung von Informationen führen konnte. Weitere Details zu den behobenen Schwachstellen verweist Zoom auf seine Sicherheitsbulletins.