A Security beschreibt drei Fehler im proprietären Protokoll der Anmerkungsfunktion: CVE-2026-53413, CVE-2026-53414 und CVE-2026-53415. Nach Darstellung des Finders konnten präparierte Nachrichten Speicherfehler auslösen und so aus einer Sitzung heraus Code auf dem Rechner eines anderen Teilnehmers ausführen.
Zoom nennt in der NVD-Beschreibung für CVE-2026-53413 einen fehlenden Längencheck und einen CVSS-3.1-Wert von 8,3. Der Vektor enthält Nutzerinteraktion. A Security spricht dagegen von Zero-Click-RCE und einem CVSS-4.0-Wert von 9,0. Die beiden Einstufungen sind daher nicht deckungsgleich.
A Security datiert den Fund auf den 8. Juni, die Meldung an Zoom auf den 10. Juni und die öffentliche Offenlegung auf den 11. August 2026. Genannte behobene Fassungen sind Workplace 7.1.5 und 7.0.6, Rooms 7.1.5 sowie Meeting SDK 7.1.5. SecurityWeek nennt zusätzlich eine vierte, anders gelagerte CVE.
Bemerkenswert ist der behauptete Entstehungsweg: Die gesamte Suche bis zum funktionierenden Exploit sei mit weniger als 20 Prompts an öffentlich verfügbaren KI-Modellen in weniger als 24 Stunden erfolgt. A Security nennt die Modelle nicht und legt keine Protokolle vor. SecurityWeek bestätigt die Schwachstellen und Patches, aber keine KI-Beteiligung.