Zoom hat am Dienstag schrittweise Sicherheitsupdates für mehrere Schwachstellen in verschiedenen Produkten bereitgestellt. Im Fokus steht dabei eine besonders kritische Lücke, die eine Remote Code Execution (RCE) ohne Benutzerinteraktion ermöglichen kann. Damit rückt die Frage in den Mittelpunkt, welche Zoom Patches für welche Versionen jetzt relevant sind und warum gerade der Annotator-Bereich so entscheidend ist.
Die betroffenen Probleme werden plattformübergreifend für Clients adressiert. Insgesamt handelt es sich um vier Sicherheitsmängel, die Zoom in seinen Updates mit entsprechenden Fixes und zugehörigen Zuordnungen (CVE) veröffentlicht hat.
Warum die Lücke besonders gefährlich ist
Die schwerwiegendste Schwachstelle ermöglicht Angriffe, die ohne erforderliche Aktionen des Opfers auskommen. Ein Angreifer muss den Betroffenen nicht veranlassen, einen Link zu öffnen oder zusätzliche Schritte auszuführen. Durch das „Zero-Click“-Prinzip kann die Ausnutzung bereits allein dadurch stattfinden, dass ein Zoom-Client automatisch eingehende Daten verarbeitet.
In diesem Fall beschreibt eine Sicherheitsfirma, dass die Ausnutzung darauf basiert, dass der Client eingehende Inhalte automatisch analysiert. Über eine gezielt präparierte Nachricht lässt sich dabei das Speicherverhalten auf der Empfängerseite so beeinflussen, dass anschließend Code ausgeführt werden kann.
Annotator-Funktion: zentrale Angriffsfläche
Bei den drei besonders relevanten Sicherheitsdefekten handelt es sich laut den verfügbaren Informationen um Probleme, die in der Annotator-Funktion auftreten. Diese Funktion nutzt ein proprietäres Protokoll. Entscheidend ist dabei, wie dieses Protokoll den Datenaustausch zwischen dem Anzeigenden und dem Übermittelnden in einer Sitzung direkt verbindet.
Dadurch kann ein Angreifer gezielt einzelne Teilnehmer einer Besprechung anvisieren. Die Sicherheitsfirma erläutert, dass der Exploit Teilnehmer entweder durch das Betreten eines Meetings oder durch das Hosten starten kann. Anschließend kann der Angreifer die Kontrolle über die betroffene Maschine übernehmen, ohne dass das Opfer dafür sichtbar etwas tun muss.
Zusätzlich wird betont, dass es für die kompromittierte Person keine eindeutige visuelle Warnung geben soll, die den Vorfall unmittelbar erkennbar macht.
Die kritischste Schwachstelle: CVE-2026-53413
Die bedeutendste Lücke trägt die Kennung CVE-2026-53413. Dabei handelt es sich um eine Speicherbeschädigung (Memory Corruption). Solche Fehler können besonders heikel sein, weil sie den Weg für kontrollierte Fehlzustände im Speicher ebnen. Im beschriebenen Szenario kann dadurch ein Meeting-Teilnehmer Code auf der Maschine eines anderen Teilnehmers ausführen.
Die Sicherheitsfirma berichtet, dass sie die Schwachstelle identifiziert und auch einen Namen dafür geprägt hat. Für Anwender ist vor allem relevant, dass die Ausnutzung ohne User Action möglich ist. Genau deshalb zählen die zugehörigen Zoom Patches zu den dringenden Maßnahmen.
Weitere Probleme im Annotator: CVE-2026-53414 und CVE-2026-53415
Neben CVE-2026-53413 fand die Sicherheitsfirma eine weitere Sicherheitslücke: CVE-2026-53414. Auch hier geht es um eine fehlende Bound-Check-Prüfung im Kontext der Annotator-Komponente. Durch diesen Mangel kann es zu einem Buffer Overread kommen. Praktisch bedeutet das: Ein Angreifer kann gezielt einen Denial-of-Service-Angriff (DoS) gegen einen beliebigen Meeting-Teilnehmer auslösen.
Darüber hinaus wurde CVE-2026-53415 beschrieben. Dabei handelt es sich um eine Use-after-free Schwachstelle in der Annotator-Funktion. Interessant ist der zeitliche Aspekt: Laut den Informationen wurde die Lücke nach der Meldung entdeckt, wobei Zoom sie bereits im Blick hatte und entsprechend früher identifiziert haben soll.
Koordinierte Veröffentlichung: Client- und Serverseite beachten
Ein wesentlicher Punkt bei der Einordnung ist die Timing-Strategie. Da eine Zero-Click-RCE keine Interaktion des Benutzers erfordert, muss die Verteilung der Sicherheitsschritte möglichst gut abgestimmt sein. Die Sicherheitsfirma nennt als Grund, dass Kunden erst Zeit bekommen sollen, sowohl die Client-Patches zu erhalten als auch die serverseitigen Gegenmaßnahmen wirksam werden zu lassen.
Zoom hat diese abgestimmte Vorgehensweise im Rahmen der Veröffentlichung der Updates umgesetzt. Für Organisationen heißt das: Planen Sie die Aktualisierung zügig, aber berücksichtigen Sie außerdem, dass der Schutz nicht nur auf der lokalen Clientseite entsteht.
Welche Zoom Patches sind für welche Versionen relevant
Zoom hat am Dienstag mitgeteilt, dass mehrere Produktlinien die notwendigen Fixes enthalten. Die Zuordnung der Versionen sieht wie folgt aus (für alle unterstützten Plattformen):
- Workplace: Version 7.1.5 und 7.0.6
- Rooms: Version 7.1.5
- Meeting SDK: Version 7.1.5
Damit werden die drei Annotator-bezogenen Schwachstellen adressiert, die in den Informationen als besonders kritisch hervorgehoben wurden.
Zusätzlich hat Zoom weitere Patches für Virtual-Desktop-Umgebungen ausgerollt. Auch hier gilt: Prüfen Sie Ihre installierten Versionen und aktualisieren Sie entsprechend:
- Workplace VDI Client für Windows: Version 7.0.11 und 6.6.16
- Workplace VDI Plugins: Version 7.0.11 und 6.6.15
Für diese Updates werden Schwachstellen im Kontext einer Pfadmanipulation (Path Traversal) geschlossen, die zu Informationsoffenlegung führen kann. Diese Lücke ist unter CVE-2026-53416 geführt.
Was bedeutet das für Unternehmen und IT-Teams?
Für Unternehmen ist vor allem die Kombination aus „Zero-Click“ und möglicher Codeausführung ein unmittelbarer Handlungsanstoß. Selbst wenn die betroffene Funktion nur in bestimmten Use-Cases genutzt wird, sollten Sie davon ausgehen, dass die Annahme „nutzt unser Team den Annotator nicht“ keinen vollständigen Schutz bietet, da der Datenweg und die automatische Verarbeitung beim Client relevant sind.
Setzen Sie daher folgende Schritte priorisiert um:
- Bestandsaufnahme: Klären Sie, welche Zoom-Versionen bei Ihnen im Einsatz sind, inkl. Workplace, Rooms und Meeting SDK.
- Aktualisierung planen: Nutzen Sie die von Zoom bereitgestellten Versionen als Zielstände.
- VDI-Umgebungen prüfen: Vergessen Sie nicht Workplace VDI Client und Plugins, insbesondere bei Windows-Systemen.
- Dokumentieren und überwachen: Halten Sie fest, wann Clients aktualisiert wurden und ob serverseitige Maßnahmen parallel greifen.
Wenn Sie in einer stark reglementierten Umgebung arbeiten, lohnt sich außerdem die Abstimmung mit Ihrem Patch-Management- und Incident-Response-Prozess.
Wo Sie weitere Details zu den behobenen Lücken finden
Zoom weist darauf hin, dass zusätzliche Informationen zu den behobenen Schwachstellen über die Security-Bulletins-Seite abrufbar sind. Dort finden Sie in der Regel ergänzende Hinweise zur Einordnung, die genaue Betroffenheit und weitere technische Details.
Für Admins und Security-Teams empfiehlt es sich, diese Informationen direkt zu prüfen, um die Updates mit den eigenen Assets abzugleichen und eine verlässliche Update-Dokumentation zu erstellen.
Fazit: Zoom Patches jetzt einplanen
Die veröffentlichten Zoom Patches adressieren mehrere Sicherheitslücken, darunter eine besonders kritische Schwachstelle, die eine Zero-Click RCE ermöglichen kann. Da die Probleme in der Annotator-Funktion verortet sind und Angriffe ohne sichtbare Hinweise auf der Empfängerseite möglich sein sollen, sollten Unternehmen die Updates zeitnah ausrollen.
Gleichzeitig gilt: Prüfen Sie nicht nur Standard-Clients, sondern auch Workplace VDI-Komponenten. So stellen Sie sicher, dass die geschlossenen Fixes in Ihrer gesamten Zoom-Landschaft wirksam werden.
Quelle: https://www.securityweek.com/zoom-patches-zero-click-code-execution-vulnerability/
