任何在 Zoom 會議中共享螢幕的使用者，都可能被觀看會議的其他人劫持電腦，反之亦然。
此漏洞存在於註解工具中，該功能允許參與者在共享螢幕上繪圖和輸入文字。攻擊者無需受害者進行任何操作，例如點擊、下載或任何螢幕提示，即可發動攻擊。
相關修補程式已於六月和七月發布，遠早於漏洞公開。截至發布時，尚未有任何利用此漏洞的報告。此漏洞的三個識別碼均未出現在 CISA 的已知利用漏洞目錄中。
此研究來自以色列的進攻安全新創公司「A Security」。該公司於六月獲得 3700 萬美元資金後公開。他們表示，從發現漏洞到開發出可運作的利用程式，僅花費不到一天時間，且僅使用了少於 20 次的公開 AI 模型提示。
外界無法驗證此說法，因為報告中並未提及具體模型。Zoom 對此漏洞的評級也低於該新創公司，並將其中一個漏洞歸功於自家內部團隊。
Zoom 並未公開技術細節，因此內部資訊來自該新創公司的逆向工程。繪圖資料在網路傳輸時並非以圖片形式，而是被轉換為結構化物件，並以計數後接資料的方式傳送。接收端會根據這些計數來決定讀取多少資料。
其中一個漏洞在於，一個固定大小為 128 位元組的緩衝區在寫入資料時未進行檢查，導致資料超出範圍。由於這是物件的最後一個欄位，超出的計數會寫入返回位址之外的記憶體，造成緩衝區溢位。
一個惡意的繪圖為何能影響整個會議室，是因為缺少對訊息來源的檢查。每個檢視者都與共享者之間有一個通道，共享者也回傳一個用於傳送確認訊息的通道。研究人員追蹤的路徑顯示，分派器在讀取訊息類型編號時，並未檢查發送者的位置，而是直接將其交給匹配的解析器。例如，0x10001 代表一個物件，0x10002 代表已收到訊息。如果將前者傳送給應接收後者的對象，受害者的客戶端就會完整重建該物件。
Zoom 將這些漏洞追蹤為 CVE-2026-53413（CVSS 評分：8.3，緩衝區溢位）、CVE-2026-53414（CVSS 評分：6.5，緩衝區溢讀），兩者均涵蓋在 ZSB-26015 和 ZSB-26016 中；以及 CVE-2026-53415（CVSS 評分：8.3，使用後釋放），涵蓋在 ZSB-26017 中。
該新創公司將這三個漏洞在 CVSS 4.0 下評為 9.0，但此評分並未出現在任何公告中。Zoom 發布自己的 CVE 記錄，且 NIST 不再例行重新評分，因此較低的評分很可能會被保留。所有三個漏洞的供應商向量都標記需要使用者互動，這與零點擊的描述有所出入。
雙方在緩衝區溢讀方面的分歧最大。該新創公司表示，他們從受害者的客戶端恢復了未初始化的堆積記憶體，其中包含即時程式碼和 vtable 指標，這是地址隨機化旁路攻擊所需的材料。
該公告稱，同一個漏洞可能允許參與者「執行阻斷服務攻擊」，並將其機密性影響評為無。功勞分配也有分歧：兩個公告將功勞歸於 A Security 的 Idan Levcovich，而涵蓋使用後釋放漏洞的公告則歸功於 Zoom Offensive Security，這是該公司七月修補的 9.8 分帳戶接管漏洞背後的內部團隊。
該新創公司的發布列出了所有三個漏洞為其獨立發現，但承認 Zoom 已知曉第三個漏洞，並在報告送達前已在伺服器端進行過濾。其關於 AI 工作的部分也比其自身總結更為混亂。
第一階段的自動化功能排名，從 Java 層可達到的函數進行，產生了 70 個函式庫中 3,762 個函數的佇列，完全錯過了易受攻擊的函式庫，將其排在第 45 位。直到他們追蹤運行中的客戶端，逐一檢視功能，才發現該漏洞。Levcovich 寫道，開發這類利用程式的門檻「已經崩潰，而且不會再回來了」。
此披露發生在 OpenAI 前一天拆分其 Daybreak 計畫並僅向經過審核的合作夥伴發布 GPT-5.6-Cyber 之後，理由是這種能力需要受到限制。該新創公司表示，他們從任何人都可以使用的模型中獲得了結果。根據 OpenAI 自己的標準，其有護欄的公開模型能回答 1.5% 的進階進攻安全提示，而受限制的模型則能回答 95%。