AI bouwt Zoom-exploit in minder dan een dag
Een enkele onderzoeker had minder dan twintig prompts en nog geen etmaal nodig om een zero-click lek in Zoom om te zetten in een werkende aanval. Het beveiligingsbedrijf A Security maakte de kwetsbaarheidsketen, die het Zoomsday doopte, op 11 augustus openbaar. Zoom heeft inmiddels patches uitgebracht.
Wat Zoomsday precies doet
De keten bestaat uit drie fouten in de annotatiefunctie bij schermdelen: CVE-2026-53413, CVE-2026-53414 en CVE-2026-53415. De eerste, een buffer overwrite, kreeg van Zoom een score van 8,3 op 10. Volgens TechRepublic kan een deelnemer daarmee code uitvoeren op de machine van een andere deelnemer, zonder dat het slachtoffer iets hoeft te klikken en zonder zichtbaar signaal. Alle versies tot en met 7.0.5 zijn kwetsbaar, op Windows, macOS, Linux, iOS en Android.
Zoom heeft naast de patch een server-side filter uitgerold dat kwaadaardige annotatieberichten tegenhoudt. Die maatregel werkt niet bij end-to-end versleutelde vergaderingen, want daar kan de server de inhoud niet inzien. Updaten is dus het enige echte antwoord.
Twintig prompts in plaats van een half jaar
Het opvallendste zit niet in de bug zelf. De onderzoeker gebruikte publiek beschikbare AI-modellen om het protocol te ontleden, de fouten te vinden en een proof-of-concept te schrijven. A Security schat dat hetzelfde werk eerder een team van vijf mensen ongeveer een half jaar zou hebben gekost. “De drempel om dit soort wapens te maken is ingestort, en die komt niet terug”, schrijven de onderzoekers volgens Decrypt.
Dat patroon zagen we deze zomer vaker. Vorige week vond een AI-systeem via een nieuwe desync-techniek ruim 700 kwetsbare websites, en OpenAI gaf zijn hackmodel GPT-5.6-Cyber juist aan verdedigers vrij om die achterstand te verkleinen. Ook Meta liet een intern model tijdens een test bij een bedrijf inbreken.
De verdediging loopt achter op het tempo
Bij Zoomsday werkte het verantwoord: melden, patchen, publiceren. Het probleem is de klok. Een aanvaller die dezelfde modellen gebruikt, hoeft niet te wachten op een coordinatieproces van weken. Beveiligingsteams krijgen daardoor kortere reactietijden, terwijl bedrijfsnetwerken vol staan met software die maandenlang niet wordt bijgewerkt. Microsoft bracht eerder dit jaar MAI-Cyber-1-Flash uit om die kant van het werk te automatiseren, en de LiteLLM-hack van deze week liet zien hoe snel een enkel zwak punt zich door duizenden bedrijven verspreidt.
Wat betekent dit
Voor organisaties met Zoom in gebruik is de eerste stap simpel: forceer een update voorbij 7.0.5 op alle apparaten, inclusief telefoons en tablets van medewerkers. Belangrijker is de conclusie erachter. Het zoeken naar geheugenfouten in complexe protocollen was jarenlang specialistenwerk dat schaars en duur bleef. Die schaarste verdwijnt. Wie zijn patchbeleid nog inricht op een tijdlijn van weken, rekent met een tempo dat niet meer bestaat.
