TL;DR — das Wichtigste in 20 Sekunden:
- Zoom stopft mit CVE-2026-53412 eine kritische Lücke (CVSS 9,8) im Windows-Client.
- Angreifer können ohne Login und ohne dein Zutun übers Netzwerk dein Zoom-Konto übernehmen.
- Betroffen: Zoom Workplace für Windows vor Version 7.0.0, der VDI-Client und das Meeting SDK.
- Jetzt updaten — die gepatchten Versionen sind seit dem 15./16. Juli verfügbar.
Wenn dein Arbeitstag in Zoom-Calls stattfindet, solltest du JETZT kurz innehalten und updaten: Zoom hat eine kritische Sicherheitslücke im Windows-Client geschlossen, durch die Fremde dein Konto übernehmen können. Die Bewertung: CVSS 9,8 von 10 — höher geht es kaum.
Was ist passiert?
Die Lücke trägt die Kennung CVE-2026-53412 und steckt in der Eingabe-Validierung des Windows-Clients. Die Folge: Ein nicht angemeldeter Angreifer kann übers Netzwerk eine Konto-Übernahme durchführen. Kein Klick von dir nötig, kein Passwort-Diebstahl vorab — genau deshalb die 9,8.
Diese Versionen sind betroffen
Verwundbar sind laut Zoom-Advisory:
- Zoom Workplace für Windows vor Version 7.0.0
- Zoom Workplace VDI Client vor 7.0.10 bzw. 6.6.15 / 6.5.18 (je nach Zweig)
- Zoom Meeting SDK für Windows vor 7.0.0
macOS-, Linux- und Mobile-Clients sind von dieser Lücke nicht betroffen.
So updatest du in 30 Sekunden
Öffne Zoom, klick oben rechts auf dein Profilbild und dann auf „Nach Updates suchen“. Alternativ lädst du den aktuellen Client direkt im Zoom Download Center. In Firmen mit zentraler Software-Verteilung: IT anstupsen, dass der Rollout wirklich läuft. Wer den VDI-Client nutzt, prüft die Versionsnummer gegen die Liste oben.
Warum du das ernst nehmen solltest
Videokonferenz-Konten sind ein Traumziel für Angreifer: Meeting-Historie, Kontakte, Aufzeichnungen, oft SSO-Verknüpfungen ins Firmennetz. Eine Lücke, die ohne Authentifizierung übers Netz funktioniert, wird erfahrungsgemäß schnell in Exploit-Kits eingebaut — auch wenn bislang keine aktiven Angriffe bekannt sind. Genau das Zeitfenster zwischen Patch und Massen-Exploit entscheidet.
Dazu kommt die schiere Verbreitung: Zoom steckt nicht nur auf Millionen Privat-PCs, sondern über das Meeting SDK auch in unzähligen Dritt-Anwendungen — von Buchungs-Tools bis Telemedizin. Diese Apps müssen ihre eingebettete Zoom-Komponente selbst aktualisieren. Wenn du Software nutzt, die „Zoom-Meetings direkt in der App“ anbietet, lohnt in den nächsten Tagen ein Blick auf deren Update-Hinweise.
Und noch ein Punkt für Admins: Der VDI-Client hat drei parallel gepflegte Zweige (7.0.x, 6.6.x, 6.5.x) — die sichere Version hängt also davon ab, welchen Zweig eure Umgebung fährt. Ein pauschales „wir sind auf 6.x, alles gut“ reicht diesmal nicht; entscheidend ist 7.0.10, 6.6.15 beziehungsweise 6.5.18 als Minimum.
Häufige Fragen
Bin ich auch privat betroffen?
Ja, wenn du den Zoom-Client für Windows in einer Version vor 7.0.0 nutzt. Die Lücke unterscheidet nicht zwischen Firmen- und Privatkonto — update einfach sofort.
Gibt es schon aktive Angriffe?
Bislang meldet Zoom keine bekannte Ausnutzung in freier Wildbahn. Bei einer 9,8er-Lücke ohne nötige Nutzer-Interaktion ist schnelles Patchen trotzdem Pflicht.
Reicht es, Zoom im Browser zu nutzen?
Die Web-Version ist von dieser Client-Lücke nicht betroffen. Wer den Desktop-Client installiert hat, sollte ihn aber trotzdem aktualisieren oder deinstallieren.
Woher weiß ich, welche Version ich habe?
Im Zoom-Client: Profilbild → Hilfe → Info. Steht dort eine Version unter 7.0.0, bist du verwundbar.