Die Technik nach dem Bericht des Finders: Zooms Anmerkungs-Funktion überträgt ihre Daten in einem proprietären Protokoll; in der Deserialisierung kommt es zu Überläufen auf Stack und Heap. Konkret arbeitet die betroffene Routine mit Puffern fester Größe, akzeptiert aus dem Netz aber 32-Bit-Längenangaben – ein überhöhter Wert lässt den Parser mehr Daten kopieren, als das Ziel fasst. Angreifen kann demnach jeder Teilnehmer einer Sitzung jeden anderen; A Security spricht von „zero-click remote code execution on all meeting participants“ und stuft die drei Einträge mit „critical 9.0 CVSS:4.0 scores“ ein.
Die amtliche Einstufung fällt niedriger aus, und wir führen die Abweichung mit: Der NVD-Eintrag zu CVE-2026-53413, dessen Angaben von Zoom selbst stammen, beschreibt „Missing bounds check in the annotator function of Zoom Clients allows buffer over-write, which may allow a meeting participant to achieve remote code execution of another participant via network access“ und vergibt nach CVSS 3.1 einen Basiswert von 8,3 („HIGH“) mit dem Vektor AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H. Das „UI:R“ darin steht für erforderliche Nutzerinteraktion – was der Bezeichnung „zero-click“ des Finders formal widerspricht. Beide Angaben stehen so in ihren jeweiligen Quellen; welche Interaktion Zoom hier zählt (etwa das Beitreten zur Sitzung), geht aus dem Eintrag nicht hervor.
Die Zeitachse nach Angaben von A Security: Fund am 8. Juni 2026 durch Idan Levcovich, Senior Vulnerability Researcher, bei der Analyse des Android-Clients; funktionierender RCE am 9. Juni bestätigt; Meldung an Zoom am 10. Juni; Client-seitiger Fix am 22. Juni in Version 7.1.0; serverseitige Abschwächung am 15. Juli; öffentliche Offenlegung am 11. August. Für Nutzer heißt das nach Darstellung des Finders: Wer mit Ende-zu-Ende-Verschlüsselung arbeitet und älter als 7.1.5 beziehungsweise 7.0.6 ist, bleibt verwundbar.
Die unabhängige Berichterstattung stützt die Lücken, nicht die KI-Erzählung: SecurityWeek meldet am 11. August dieselben Fehler und Zooms Fassungen, führt zusätzlich CVE-2026-53416 (Pfad-Traversal mit Informationsabfluss) auf, ordnet CVE-2026-53414 einer Dienstverweigerung und CVE-2026-53415 einem Use-after-free zu – und erwähnt eine Beteiligung von KI an der Entdeckung mit keinem Wort. Zoom selbst hat die Fehler durch die Auslieferung der Patches anerkannt; ein Dementi zu irgendeinem Teil der Darstellung liegt nicht vor.
⚠️ Zur Beleglage: Geöffnet und gelesen haben wir den Blogbeitrag von A Security (Primärquelle des Finders, mit erheblichem Eigeninteresse – die Firma verkauft Sicherheitsforschung), den NVD-Eintrag zu CVE-2026-53413 als neutrale Registrierung mit Zoom als zuweisender Stelle, sowie die Meldung von SecurityWeek. Die Aussage zu „weniger als 20 Prompts“ und „unter 24 Stunden“ ist ausschließlich Selbstauskunft des Finders; welche Modelle eingesetzt wurden, wird nicht genannt, Protokolle liegen nicht vor, eine Reproduktion durch Dritte kennen wir nicht. Die Zuordnung der einzelnen CVE-Nummern zu Fehlertypen folgt SecurityWeek; die Schweregrad-Angabe 9,0 nach CVSS 4.0 stammt vom Finder, die 8,3 nach CVSS 3.1 aus dem NVD-Eintrag.