Zoom dicht drie lekken waarmee een deelnemer je apparaat kon overnemen

Zoom heeft drie kwetsbaarheden gedicht in het tekengereedschap bij schermdelen, meldt het bedrijf in beveiligingsbulletins van 11 augustus: een andere deelnemer aan dezelfde vergadering kon er zonder enige klik code mee uitvoeren op jouw computer.

De reparatie ligt er al sinds eind juni. Dat zegt alleen niets over de versie die op de laptops in jouw kantoor staat. Zoom handhaaft sinds 1 augustus een minimumversie van 5.17.5 op Windows en 6.0.2 op macOS, Linux, Android en iOS, terwijl de fix pas in 7.1.5 en 7.0.6 zit. Een fors verouderde client mag dus gewoon meevergaderen zonder dat Zoom hem tegenhoudt. De vraag van vandaag is niet of Zoom heeft gepatcht, maar welke build je mensen draaien.

Wat er misging

De drie fouten zitten in de annotatiebibliotheek, de code achter het tekenen en typen op een gedeeld scherm. CVE-2026-53413 is een ontbrekende bounds check in de annotator-functie waarmee een deelnemer code kan uitvoeren op de machine van een andere deelnemer, met CVSS-score 8.3. CVE-2026-53415 is een use-after-free met dezelfde score. CVE-2026-53414 blijft bij een crash: een buffer over-read, score 6.5.

Kwetsbaar waren Zoom Workplace op alle ondersteunde platforms onder 7.1.5 en 7.0.6, de Zoom Workplace VDI Client voor Windows onder 7.0.11 en 6.6.16, en Zoom Rooms en de Zoom Meeting SDK onder 7.1.0. Dat dekt Windows, macOS, Linux, iOS en Android. Er is geen misbruik in het wild vastgesteld.

Wat dit zwaarder maakt dan een doorsnee kwetsbaarheid: het slachtoffer hoeft niets te doen. Geen link, geen bestand, geen bevestiging. Wie de vergadering host en wie meekijkt liepen allebei risico zodra er een scherm werd gedeeld. Medeoprichter Yossi Torati van A Security schetste het scenario voor WIRED zonder omhaal: op een gesprek zitten was genoeg om de computer en de inloggegevens van een deelnemer over te nemen, en daarmee verder te bewegen in het bedrijfsnetwerk.

Wat je vandaag controleert

De controle draait om één ding: welke Zoom-build er echt op je apparaten staat. Een bulletin dat zegt "gerepareerd in 7.1.5" is pas waar op een machine waar 7.1.5 ook daadwerkelijk is geïnstalleerd. Automatisch bijwerken staat in de zakelijke uitrol standaard aan, maar dat is geen bewijs. Drie dingen om na te lopen:

• De versienummers per product. Zoom Workplace hoort op 7.1.5 of 7.0.6 te staan, de VDI Client voor Windows op 7.0.11 of 6.6.16, Zoom Rooms en de Meeting SDK op 7.1.0 of hoger. Zoom Rooms zijn het makkelijkst te vergeten: die hangen in vergaderruimtes en niemand kijkt daar naar een versienummer.
• Het updatekanaal. Bij uitrol via MSI, GPO, PLIST of ZDM staat AU2_EnableAutoUpdate standaard op ingeschakeld, maar AU2_SetUpdateChannel kiest tussen een traag kanaal met minder updates en een snel kanaal met de nieuwste. Sta je op traag, dan betekent "automatisch" niet dat de fix er al is.
• De annotatiefunctie zelf. Tekenen op een gedeeld scherm is uit te zetten op accountniveau, onder Account Settings bij In Meeting (Basic). Gebruikt niemand in je organisatie het, dan verklein je daarmee blijvend je aanvalsoppervlak, los van deze drie CVE's.

Twintig prompts, één dag

A Security vond de fout op 8 juni en had een dag later werkende code-uitvoering, met minder dan twintig prompts op publiek beschikbare modellen. Volgens SC World gebruikte het team daarvoor Claude Opus 4.7 en 4.8, gekoppeld aan IDA Pro en Frida via MCP-servers: het ene om de gecompileerde Android-code uit elkaar te halen, het andere om live mee te kijken tijdens een echte vergadering.

Zijn medeoprichter Omer Gull noemt niet de bug maar de lage drempel het gevaar. Waar een team van vijf mensen hier vroeger een maand of zes op zou hebben zitten verfijnen en itereren, komt iemand nu met minder dan twintig prompts op hetzelfde resultaat. Dat verklaart ook waarom de onderzoekers juist de annotatiecode uitkozen: een obscure, ingewikkelde functie in gesloten software krijgt zelden publieke review, en dat soort hoeken lonen.

Waar de scheefgroei zit

De afstand tussen "er zit een fout in deze code" en "iemand heeft een werkende aanval" is hier teruggebracht tot één dag. De afstand tussen "er is een patch" en "de patch staat erop" is bij de meeste organisaties niet meegekrompen. Diezelfde scheefgroei zag je vorige week terug in het onderzoek waarin Palo Alto's AI-systeem NOVA in twee maanden 14.090 vrijwel allemaal onbekende kwetsbaarheden vond in 3.915 open-source projecten, en in de vijf AI-browsers die Zenity Labs zonder één klik van de gebruiker kaapte.

Niet de aard van de fouten verandert, wel het tempo waarin ze gevonden worden. Daarmee schuift het zwaartepunt van je beveiliging naar iets doodgewoons: weten welke versies er draaien op de software waar je het minst over nadenkt, omdat die al jaren gewoon werkt.