AI vond in minder dan 20 prompts een kritiek Zoom-lek

TL;DR

• Wat: Onderzoekers gebruikten een publiek beschikbare AI om met minder dan 20 prompts een kwetsbaarheid in Zoom te vinden waarmee je het apparaat van een andere deelnemer kon overnemen — zonder dat die iets hoefde te klikken.
• Waarom relevant: Zoom is voor veel MKB-bedrijven de standaard voor vergaderingen, en dit lek zat in de basisversie van de software.
• Wat je ermee kunt: Controleer of je Zoom-client is bijgewerkt naar de nieuwste versie; Zoom heeft patches uitgebracht.

Ik stuitte op een bericht van WIRED dat me even deed stilstaan. Beveiligingsonderzoekers hadden met behulp van een publiek toegankelijk AI-model — in minder dan twintig prompts — een ernstige kwetsbaarheid in Zoom blootgelegd. Het lek is inmiddels gedicht, maar het verhaal erachter is wat mij betreft minstens zo interessant als de bug zelf.

Wat er precies is gevonden

De onderzoekers noemden hun vondst "ZOOMSDAY" — een keten van drie kwetsbaarheden die samen een zogenaamde zero-click remote code execution mogelijk maakten. In gewoon Nederlands: iemand die deelnam aan een Zoom-vergadering kon het apparaat van een andere deelnemer overnemen, zonder dat die ander iets hoefde aan te klikken, te downloaden of te openen.

De drie kwetsbaarheden zijn geregistreerd als CVE-2026-53413, CVE-2026-53414 en CVE-2026-53415. Het probleem zat in de annotatiefunctie van Zoom — dat is het gereedschap waarmee je tijdens een presentatie kunt tekenen of markeren op een gedeeld scherm. De software verwerkte speciaal geconstrueerde annotatiedata niet goed, waardoor er ongewenst geheugengedrag kon optreden. Door de drie kwetsbaarheden slim te combineren, konden de onderzoekers code uitvoeren op het apparaat van het doelwit.

De getroffen versie was Zoom Client v7.0.5, op zowel Windows, macOS, iOS als Android. Dat betekent: vrijwel elk platform waarop Zoom draait.

De rol van AI: minder dan 20 prompts

Wat mij hier opvalt, is niet zozeer de bug — er worden regelmatig kwetsbaarheden gevonden in grote softwareproducten. Wat mij wél treft, is de snelheid. De onderzoekers geven aan dat ze met een publiek beschikbaar AI-model in minder dan 24 uur een werkend exploit hadden ontwikkeld. Met minder dan twintig prompts.

Om dat in perspectief te plaatsen: twintig prompts is minder dan de meeste mensen typen als ze ChatGPT vragen om een vakantieplanning te maken. Hier ging het om het vinden en uitbuiten van een ernstige kwetsbaarheid in software die wereldwijd door honderden miljoenen mensen wordt gebruikt.

De onderzoekers formuleerden het volgens eSecurity Planet als volgt: "The barrier to producing this class of weapon has collapsed, and it won't come back." Vrij vertaald: de drempel om dit soort aanvallen te ontwikkelen is ingestort, en die komt niet meer terug. Dat is een stevige uitspraak, en ik denk dat die serieus genomen moet worden.

Wat Zoom heeft gedaan

Zoom heeft patches uitgebracht voor alle drie de kwetsbaarheden. Daarnaast heeft het bedrijf een server-side mitigatie ingevoerd: een filter dat schadelijke berichten onderschept voordat ze bij de ontvanger aankomen. Dat is een extra beveiligingslaag bovenop de client-update.

Er zit wel een kanttekening aan. Volgens de berichtgeving werkt die server-side bescherming niet bij vergaderingen met end-to-end-encryptie. Dat is logisch — bij end-to-end-encryptie kan de server de inhoud van berichten niet inzien en dus ook niet filteren — maar het betekent wel dat de client-update de belangrijkste verdedigingslinie is.

Er is op dit moment geen bewijs dat de kwetsbaarheid actief is misbruikt voordat de patch beschikbaar kwam. Maar het feit dat een werkend exploit in minder dan een dag kon worden gebouwd, maakt dat "geen bewijs van misbruik" minder geruststellend klinkt dan normaal.

Wat dit voor een ondernemer betekent

Stel dat je als ondernemer een bedrijf runt met vijftien medewerkers. Jullie gebruiken Zoom voor klantgesprekken, interne overleggen, misschien zelfs voor sollicitatiegesprekken. Hoe vaak wordt de Zoom-software op die vijftien laptops bijgewerkt? Wie is daar verantwoordelijk voor? Is er überhaupt iemand die dat in de gaten houdt?

Ik vind het bijzonder dat een kwetsbaarheid van deze ernst zit in een functie — annotaties — die de meeste mensen waarschijnlijk zelden gebruiken. Je hoefde de functie niet eens actief te gebruiken om kwetsbaar te zijn; het feit dat de code op je apparaat stond was voldoende.

Voor Nederlandse MKB-bedrijven zie ik hier twee praktische punten:

1. Software-updates zijn geen optioneel onderhoud

De neiging bestaat om updates uit te stellen — ze komen op onhandige momenten, vragen een herstart, of de melding wordt weggeklikt. Maar dit soort kwetsbaarheden laat zien dat "ik update wel een keer" een concreet risico is. Als je IT uitbesteedt, vraag dan of je leverancier een updatebeleid heeft voor tools als Zoom, Teams en Slack. Als je het zelf doet: controleer vandaag nog welke versie je draait.

2. AI verandert het dreigingslandschap

Dit is misschien het bredere punt. Tot voor kort had je voor dit soort onderzoek diepgaande technische kennis nodig, weken tijd, en een flinke dosis ervaring. Nu blijkt dat een publiek AI-model een groot deel van dat werk kan versnellen. Dat is nuttig voor beveiligingsonderzoekers die kwetsbaarheden willen vinden en melden. Maar dezelfde technologie is ook beschikbaar voor partijen met minder goede bedoelingen.

Ik denk niet dat je als ondernemer nu in paniek hoeft te raken. Maar ik denk wel dat het verstandig is om cybersecurity niet langer te zien als "iets voor grote bedrijven". De tools om kwetsbaarheden te vinden worden toegankelijker. Dat betekent dat de kans groter wordt dat ook veelgebruikte software in het MKB — van videobellen tot boekhoudsoftware — sneller wordt onderzocht, zowel door onderzoekers als door kwaadwillenden.

Een drempel die niet terugkomt

Die ene zin van de onderzoekers blijft bij me hangen: de drempel is ingestort en komt niet meer terug. Wat mij betreft is dit vooral een signaal dat het tempo van beveiligingsupdates gelijke tred moet houden met het tempo waarmee kwetsbaarheden worden gevonden. En dat tweede tempo is zojuist flink opgeschroefd.

Voor mij is dit geen reden tot paniek, maar wel een reden om nuchter te kijken naar hoe je als bedrijf omgaat met software-updates en basale digitale hygiëne. De technologie om fouten te vinden wordt steeds sneller. De vraag is of wij als gebruikers net zo snel worden in het dichten ervan.