Zoom patcht Zero-Click-Lücke Zoomsday (CVE-2026-53413)

Du sitzt in einem ganz normalen Meeting, klickst nichts an, öffnest nichts — und trotzdem übernimmt ein anderer Teilnehmer deinen Rechner. Genau dieses Albtraum-Szenario steckt hinter der Schwachstelle CVE-2026-53413, die Sicherheitsforscher auf den Namen Zoomsday getauft haben. Zoom hat sie am 11. August gepatcht.

GEFAHR! Ein Meeting reichte — kein Klick nötig

Die Lücke steckt in der Annotations-Funktion, mit der Teilnehmer gemeinsam auf geteilten Bildschirmen zeichnen. Ein Speicherfehler dort ließ sich so ausnutzen, dass ein Angreifer aus dem Meeting heraus Code auf den Rechnern anderer Teilnehmer ausführen konnte — ohne dass die Opfer irgendetwas anklicken mussten. Zero-Click nennen Fachleute das: Die reine Teilnahme genügt.

Das macht die Lücke so unangenehm: Meetings mit fremden Menschen sind Alltag — Bewerbungsgespräche, Webinare, Support-Termine. Jeder Teilnehmer wäre ein potenzieller Angreifer gewesen.

VIER Lücken auf einen Schlag

Zoom hat in den Bulletins ZSB-26015 bis ZSB-26018 gleich vier Schwachstellen behoben. Neben Zoomsday sind das CVE-2026-53414 (fehlende Grenzprüfung, kann den Client eines Teilnehmers zum Absturz bringen), CVE-2026-53415 (Use-after-free, ebenfalls mögliche Codeausführung) und CVE-2026-53416 — eine Path-Traversal-Schwäche im VDI-Client für virtuelle Desktops.

Die gute Nachricht: Nach aktuellem Stand gibt es keine Hinweise auf aktive Angriffe und keinen öffentlichen Proof-of-Concept. Noch ist also Zeit zum Patchen — aber erfahrungsgemäß nicht lange, sobald Details kursieren.

SO bringst du dich in Sicherheit — in 2 MINUTEN

Diese Versionen schließen die Lücken: Zoom Workplace 7.1.5 (bzw. 7.0.6 für den älteren Zweig), Zoom Rooms 7.1.5, Meeting SDK 7.1.5 sowie VDI-Client 7.0.11 oder 6.6.16. Öffne Zoom, klick auf dein Profilbild und dann auf Nach Updates suchen — fertig. Admins verteilen das Update zentral und sollten dabei Konferenzraum-Systeme nicht vergessen: Gerade Zoom Rooms werden beim Patchen gern übersehen.

Zoom-Nutzer haben in diesem Jahr schon Übung: Erst im Juli sorgte eine 9,8er-Lücke für Konto-Übernahmen. Und erst gestern rollte Microsofts August-Patchday mit über 400 Fixes — der Update-Stapel wird diese Woche also nicht kleiner.

FAZIT: Update jetzt, nicht nach dem nächsten Meeting

Zoomsday zeigt wieder einmal: Auch die unscheinbarsten Funktionen — hier das Malwerkzeug — können zum Einfallstor werden. Solange kein Exploit kursiert, ist das Zeitfenster auf deiner Seite. Nutz es.

Häufige Fragen

Welche Versionen sind betroffen und welche sind sicher?

Betroffen sind Zoom Workplace vor 7.1.5 (bzw. vor 7.0.6 im älteren Zweig), Zoom Rooms und Meeting SDK vor 7.1.5 sowie der VDI-Client vor 7.0.11 bzw. 6.6.16. Alles ab diesen Versionen enthält die Fixes aus den Bulletins ZSB-26015 bis ZSB-26018 vom 11. August.

Wie merke ich, ob mein Zoom verwundbar ist?

Öffne den Zoom-Client, klick auf dein Profilbild und wähle Nach Updates suchen. Zeigt der Client eine Version unter 7.1.5 an, bist du verwundbar und solltest sofort aktualisieren. In Firmen prüft die IT die verteilte Version zentral — inklusive Konferenzräume und virtueller Desktops.

Gab es schon Angriffe über die Zoomsday-Lücke?

Nach aktuellem Stand nicht. Zoom und die beteiligten Sicherheitsforscher berichten weder von aktiver Ausnutzung noch von einem öffentlich verfügbaren Exploit. Das kann sich aber schnell ändern, sobald technische Details analysiert werden — deshalb gilt: patchen, bevor es soweit ist.

Was bedeutet Zero-Click genau?

Bei einer Zero-Click-Lücke muss das Opfer nichts tun — kein Link, kein Download, keine Bestätigung. Im Fall von Zoomsday genügte es, gemeinsam mit dem Angreifer in einem Meeting zu sitzen, während die verwundbare Annotations-Funktion missbraucht wurde. Solche Lücken gelten als besonders gefährlich, weil klassische Vorsicht nicht schützt.

Quellen: SecurityWeek · Security Affairs · CyberInsider

ZOOMSDAY! Ein Meeting-Teilnehmer konnte deinen Rechner kapern — ganz ohne Klick