Onderzoekers vonden drie kwetsbaarheden in de annotatie-functie van Zoom. Een deelnemer aan een meeting kon daarmee zonder enige interactie van het slachtoffer code uitvoeren op de apparaten van andere deelnemers. Zoom heeft de lekken gedicht in versie 7.1.5.
Securitybedrijf A Security heeft de details openbaar gemaakt van drie kwetsbaarheden in de annotatie-functie van de bekende videoconferentiesoftware. Die functie laat hosts en deelnemers tekeningen, tekst en opmerkingen plaatsen op een gedeeld scherm of digitaal whiteboard.
Voor het misbruiken van de lekken was slechts één conditie nodig, namelijk aanwezig zijn in dezelfde digitale meeting als het slachtoffer. De onderzoekers spreken dan ook van zero-click remote code execution.
De kwetsbaarheden zitten in libannotate.so, de aparte library die Zoom gebruikt voor annotaties. Die library is gebouwd op een eigen, niet-gedocumenteerd protocol. Elke client verwerkt automatisch wat hij binnenkrijgt, en dat werd het probleem. De code komt uit dezelfde bron voor Windows, macOS, iOS, Android en Linux, waardoor alle clients vatbaar waren.
Drie CVE’s, één functie
Het eerste lek (CVE-2026-53413) is een zogeheten buffer overwrite. Zoom leest gegevens van de verbinding uit en kopieert dubbel zoveel data als toegestaan naar een vaste geheugenbuffer van 128 bytes. Omdat de grens van de buffer niet gecontroleerd wordt en de data overloopt, kan een aanvaller eigen instructies in het geheugen van de computer schrijven. Volgens CyberInsider lieten de onderzoekers zien hoe ze hiermee op macOS ongemerkt de browser Safari konden openen op de computer van het slachtoffer.
Het tweede lek (CVE-2026-53414) is een over-read. Hierbij leest de software juist te veel data uit het geheugen. Een aanvaller kan zo gevoelige geheugeninformatie van het slachtoffer stelen. Daarmee wordt ook de beveiliging omzeild die het geheugen normaal gesproken willekeurig indeelt om hackers tegen te houden (een ASLR-bypass).
Het derde lek (CVE-2026-53415) heeft betrekking op de verwerking van visuele elementen (‘auto-shapes’). Dit levert een zogeheten write-what-where primitive op, oftewel een kwetsbaarheid waarbij een aanvaller volledige controle krijgt over zowel de geschreven data als de specifieke geheugenlocatie. De combinatie van deze drie lekken stelt een kwaadwillende in staat om willekeurige code uit te voeren en de volledige controle over het doelsysteem over te nemen.
Zoom classificeert de kwetsbaarheden zelf als high severity in bulletin ZSB-26015. Naast de gewone Zoom Workplace-applicatie zijn ook Zoom Rooms, de VDI-client voor Windows en de Meeting SDK getroffen.
Lees ook: Zoom dicht kritiek lek waarmee accounts overgenomen konden worden
Servermitigatie werkt niet bij E2EE
Op 8 juni ontdekte A Security het geheugenlek, een dag later was een werkende exploit tegen client 7.0.5 al bevestigd. Op 10 juni volgde de melding aan Zoom, dat binnen een dag reageerde en op 22 juni een eerste patch uitbracht in de vorm van versie 7.1.0.
Zoom filtert kwaadaardige annotatieberichten sinds 15 juli ook aan de serverkant, voordat ze de client bereiken. Maar dat filter valt weg zodra een meeting end-to-end encrypted (E2EE) is. De server kan dan immers niet inzien wat er langskomt. Op E2EE-calls bleef het lek dus volledig bruikbaar tot de definitieve client-side fix in versie 7.1.5, die op 20 juli is uitgebracht.
A Security adviseert daarom om E2EE tijdelijk uit te zetten zolang niet alle clients bijgewerkt zijn naar 7.1.5, zodat het serverfilter zijn werk kan doen. Enhanced encryption, de standaardinstelling van Zoom, laat het filter wel intact.
AI in het onderzoeksproces
Het securitybedrijf zegt het volledige traject, van vondst tot werkende exploit, in minder dan 24 uur te hebben afgelegd met minder dan twintig prompts op publiek beschikbare AI-modellen. Die wurden ingezet om native functies te rangschikken, het gesloten annotatieprotocol te reconstrueren en onveilige geheugenoperaties op te sporen. “Dit soort capaciteiten zou voorheen alleen beschikbaar zijn geweest voor statelijke actoren”, schrijft senior onderzoeker Idan Levcovich.
Of AI-ondersteund onderzoek daadwerkelijk tot meer aanvallen leidt, is nog niet duidelijk. Zoom is niet nieuw in dit soort nieuws. In 2021 werden al buffer overflows en geheugenlekken in de client gepatcht. Een jaar later volgden lekken in de auto-updatefunctie voor macOS, waarmee aanvallers volledige controle over een apparaat konden krijgen.
Naast updaten wijst A Security op het beperken van het aanvalsoppervlak. Digitale wachtkamers, passcodes en toegang alleen voor gecheckte gebruikers bepalen wie een meeting kan binnenkomen. Verder kunnen beheerders annotatie, file transfer, whiteboarding en remote control uitzetten en het delen van schermen beperken tot hosts. De browserclient van Zoom heeft geen annotatiefunctie aan boord en was daardoor sowieso veilig te gebruiken.