Die technische Analyse stammt von A Security, einem in Israel gegründeten Start-up für offensive Sicherheit, das im Juni aus dem Tarnmodus hervorging und nach eigenen Angaben 37 Millionen US-Dollar Finanzierung erhalten hat. Das Unternehmen erklärt, vom Auffinden der Schwachstelle bis zu einem funktionsfähigen Exploit weniger als einen Tag benötigt zu haben. Verwendet worden seien dafür weniger als 20 Eingaben an öffentlich verfügbare KI-Modelle. Nachprüfen lässt sich diese Behauptung von außen nicht, weil das Unternehmen in seinem Bericht kein konkretes Modell nennt.

Zoom selbst hat keine technischen Details veröffentlicht; die öffentlich bekannten Interna beruhen deshalb auf Reverse Engineering von A Security. Demnach werden Zeichnungen in der Annotation-Funktion nicht als Bild über das Netzwerk übertragen. Stattdessen baut der Client daraus ein strukturiertes Objekt, sendet eine Folge von Zählern und anschließend die zugehörigen Daten. Der empfangende Client vertraut diesen Zählern offenbar dabei, wie viele Daten er einlesen soll.

Eine der Schwachstellen betrifft laut Bericht einen festen Puffer von 128 Byte, der ohne Prüfung befüllt wird, ob die Daten hineinpassen. Weil das betroffene Feld am Ende des Objekts steht, kann ein zu großer Zähler über das Ende hinausschreiben und die Rücksprungadresse überschreiben. A Security beschreibt außerdem ein fehlendes Prüfmerkmal dafür, von welchem Teilnehmer eine Nachricht stammt. Jeder Zuschauer halte einen Kanal zu der Person, die den Bildschirm teilt; der Präsentierende halte einen Rückkanal, der eigentlich nur für Bestätigungen gedacht sei.

Auf den von den Forschern nachvollzogenen Pfaden lese der Dispatcher lediglich den Typwert einer Nachricht aus und übergebe sie dem passenden Parser, ohne zu prüfen, von welchem Sitzplatz im Meeting sie gesendet wurde. Der Typwert 0x10001 stehe für „hier ist ein Objekt“, 0x10002 für „ich habe deins erhalten“. Wird die erste Nachricht an einer Stelle eingeschleust, an der die zweite erwartet wird, rekonstruiert der Client des Opfers laut A Security das Objekt vollständig.

Zoom führt die Schwachstellen als CVE-2026-53413 mit einem CVSS-Wert von 8,3, beschrieben als Pufferüberschreibung, und CVE-2026-53414 mit 6,5, beschrieben als Puffer-Überlesen; beide werden in ZSB-26015 und ZSB-26016 behandelt. Hinzu kommt CVE-2026-53415 mit 8,3, eine Use-after-free-Schwachstelle, die in ZSB-26017 adressiert wird. A Security bewertet alle drei unter CVSS 4.0 mit 9,0, ein Wert, der in keinem der Zoom-Bulletins erscheint.

Die Darstellungen von Hersteller und Forschern weichen insbesondere bei CVE-2026-53414 voneinander ab. A Security erklärt, aus dem Client eines Opfers nicht initialisierten Heap-Speicher mit laufendem Code und Vtable-Zeigern ausgelesen zu haben, also Material für die Umgehung der Adressraum-Layout-Zufallsgenerierung. Zooms Advisory hält dagegen fest, dieselbe Schwachstelle könne einem Teilnehmer möglicherweise „einen Denial-of-Service ausführen“ ermöglichen und bewertet die Auswirkungen auf die Vertraulichkeit mit „keine“.

Auch bei der Zuschreibung gibt es Unterschiede. Zwei Bulletins nennen Idan Levcovich von A Security, während das Bulletin zur Use-after-free-Schwachstelle Zoom Offensive Security nennt, also das interne Team, das auch hinter der mit 9,8 bewerteten Kontoübernahme-Schwachstelle stand, die Zoom im Juli behoben hatte. A Security listet in seinem Beitrag alle drei Lücken als eigene Funde, räumt aber ein, dass Zoom von der dritten bereits wusste und sie serverseitig gefiltert hatte, bevor der Bericht einging.

Zum KI-Einsatz fällt die Darstellung des Start-ups ebenfalls weniger geradlinig aus als die Kurzfassung vermuten lässt. Ein erster automatisierter Durchlauf, bei dem von der Java-Schicht aus erreichbare Funktionen bewertet wurden, brachte laut dem Bericht 3.762 Funktionen in 70 Bibliotheken hervor und verfehlte die verwundbare Bibliothek vollständig; sie landete nur auf Rang 45. Erst als die Forscher den laufenden Client in einem Live-Meeting Funktion für Funktion verfolgten, tauchte der betroffene Pfad auf. Levcovich schreibt, die Hürde für die Entwicklung dieser Exploit-Klasse sei „zusammengebrochen, und sie wird nicht zurückkehren“.

Die Offenlegung folgte kurz auf eine Änderung bei OpenAI: Das Unternehmen hatte sein Daybreak-Programm einen Tag zuvor aufgeteilt und GPT-5.6-Cyber nur für ausgewählte Partner freigegeben mit der Begründung, diese Fähigkeiten müssten begrenzt werden. A Security hält dem entgegen, das Ergebnis mit Modellen erreicht zu haben, die jeder nutzen könne. Nach OpenAIs eigener Messung beantwortet das öffentlich verfügbare, abgesicherte Modell 1,5 Prozent fortgeschrittener offensiver Sicherheitsanfragen, gegenüber 95 Prozent beim eingeschränkt zugänglichen Modell.