Zoom : trois failles dans l'outil d'annotation permettaient de pirater le client d'un autre participant

Une réunion, et c'est suffisant

Partager son écran sur Zoom, ou simplement regarder quelqu'un le faire, aurait pu suffire à prendre le contrôle de l'ordinateur de l'autre. Trois failles ciblant l'outil d'annotation — cette fonction qui permet de dessiner et d'écrire sur un écran partagé — sont venues d'être rendues publiques, alors que les correctifs circulent depuis juin et juillet. La victime n'avait rien à faire d'autre qu'être présente dans la réunion : ni clic, ni téléchargement, ni invite, ni le moindre signe visible à l'écran.

Zoom a publié les bulletins ZSB-26015, ZSB-26016 et ZSB-26017 le 11 août 2026, couvrant trois vulnérabilités distinctes dans la fonction « annotator » de ses clients :

Les trois autorisent, selon les descriptions officielles, « à un participant d'atteindre l'exécution de code à distance sur un autre participant via l'accès réseau » (pour les deux plus graves) ou de provoquer un déni de service (pour la lecture hors limites).

Qui est concerné et quelles versions appliquer

Les bulletins Zoom listent un périmètre large — toutes les plateformes supportées (Windows, macOS, Linux, iOS, Android), comme le confirme la base NVD :

• Zoom Workplace (toutes plateformes) : avant 7.1.5 et 7.0.6 dans leurs branches respectives ;
• Zoom Workplace VDI Client pour Windows : avant 7.0.11 et 6.6.16 ;
• Zoom Rooms (toutes plateformes) : avant 7.1.0 (et 7.1.5 pour la faille use-after-free) ;
• Zoom Meeting SDK (toutes plateformes) : avant 7.1.0 (et 7.1.5 pour la troisième faille).

À noter : Zoom a publié le même jour un quatrième bulletin, ZSB-26018 (CVE-2026-53416, High), concernant une faille de path traversal dans le client VDI. C'est un problème distinct, mais il illustre une salve de correctifs concentrée sur la même journée.

Les correctifs ne sont pas récents : ils ont été livrés en juin et juillet, soit près de deux mois avant la divulgation publique, et aucune exploitation active n'a été signalée à la date de publication. Aucun des trois identifiants ne figure dans le catalogue Known Exploited Vulnerabilities de la CISA, dont l'analyse SSVC (publiée dans la foulée le 11 août) conclut à une exploitation « none » et une automatisation « no », tout en classant l'impact technique « total » pour les deux failles d'exécution de code.

Le mécanisme, tel que reconstitué par les chercheurs

Zoom n'a pas publié de détail technique ; l'intérieur de la machine vient de la rétro-ingénierie de la startup A Security, une jeune pêche israélienne de sécurité offensive sortie de stealth en juin avec 37 millions de dollars de financement.

Le point central : un dessin ne traverse pas le réseau comme une image. Le client le transforme en un objet structuré, envoyé comme une suite de compteurs suivis de données, et le récepteur fait confiance à ces compteurs pour décider combien lire. L'un d'eux remplit un tampon fixe de 128 octets sans vérifier que les données tiennent — et comme il s'agit du dernier champ de l'objet, un compte surdimensionné déborde et écrase l'adresse de retour. C'est l'essence de CVE-2026-53413.

Ce qui permet à un dessin malformé d'atteindre tout le salon tient à un contrôle manquant sur l'origine du message. Chaque spectateur entretient un canal vers celui qui partage, et le partageur en tient un en retour censé porter des accusés de réception. Sur les chemins tracés par les chercheurs, le répartisseur lit le numéro de type du message sur le réseau et le passe à l'analyseur correspondant sans demander quel siège occupait l'expéditeur. 0x10001 signifie « voici un objet » ; 0x10002 signifie « j'ai reçu le tien ». Envoyer le premier là où le second est attendu, et le client de la victime reconstruit l'objet en entier.

Deux lectures qui divergent

Les comptes de Zoom et d'A Security s'écartent sur plusieurs points, et c'est précisément ce qui rend la lecture croisée utile.

Sur la sévérité. A Security évalue les trois failles à 9,0 sous CVSS 4.0, un score qui n'apparaît dans aucun bulletin Zoom. Ce dernier, qui émet désormais ses propres enregistrements CVE alors que le NIST ne re-score plus systématiquement, retient 8,3 / 8,3 / 6,5 sous CVSS 3.1. Ces chiffres plus bas resteront probablement les chiffres officiels.

Sur le « zéro-clic ». Les vecteurs Zoom marquent l'interaction utilisateur comme requise (UI:R), ce qui s'accorde mal avec le cadrage « zéro-clic » mis en avant par les chercheurs. La nuance : la victime doit « être dans la réunion », mais aucune action de sa part n'est nécessaire au déclenchement.

Sur la lecture hors limites (CVE-2026-53414). C'est ici que l'écart est le plus net. A Security affirme avoir récupéré de la mémoire heap non initialisée depuis le client d'une victime, contenant du code vivant et des pointeurs de vtable — le matériau même dont a besoin un contournement de l'ASLR (Address Space Layout Randomization). Le bulletin officiel, lui, indique que la même faille peut permettre un « déni de service » et note un impact de confidentialité nul. La lecture du chercheur en fait donc un maillon potentiel d'une chaîne d'exploitation ; celle de Zoom, un simple plantage.

Sur le crédit. Le partage n'est pas net non plus. Deux bulletins (ZSB-26015, ZSB-26016) citent Idan Levcovich d'A Security. Le troisième (ZSB-26017, use-after-free) crédite Zoom Offensive Security, l'équipe interne déjà à l'origine de la faille d'exécution de code notée 9,8 corrigée en juillet. A Security revendique pourtant les trois, tout en reconnaissant que Zoom « connaissait déjà » la troisième et l'avait filtrée côté serveur avant son signalement.

L'IA au cœur du récit — et ses limites

L'élément le plus marquant de la divulgation tient à la méthode. A Security affirme être passée de la découverte de la faille à un exploit fonctionnel en moins d'une journée, avec moins de 20 requêtes sur des modèles d'IA « publiquement disponibles » — sans nommer le modèle utilisé, ce qui rend la revendication invérifiable.

Le récit interne est en réalité plus embrouillé que le résumé. Une première passe automatisée, classant les fonctions atteignables depuis la couche Java, a produit une file de 3 762 fonctions réparties sur 70 bibliothèques et a raté la bibliothèque vulnérable, la classant 45ᵉ. Elle n'a émergé que lorsque les chercheurs ont tracé le client en cours d'exécution à travers un appel réel, fonctionnalité par fonctionnalité. Le triomphe de l'IA est donc aussi l'histoire d'un échec de l'automatisation corrigé par l'analyse manuelle.

Le calendrier est chargé : la divulgation intervient un jour après qu'OpenAI a scindé son programme Daybreak et publié GPT-5.6-Cyber pour des partenaires contrôlés uniquement, au motif que cette capacité doit être encadrée. Selon les propres mesures d'OpenAI, son modèle public sous garde-fou ne répond qu'à 1,5 % des requêtes avancées de sécurité offensive, contre 95 % pour la version restreinte. A Security maintient avoir obtenu son résultat avec des modèles accessibles à tous. Idan Levcovich conclut sobrement que la barrière pour construire cette classe d'exploits « s'est effondrée, et ne reviendra pas ».

Que faire

La conduite à tenir est directe :

1. Mettre à jour tous les clients Zoom (Workplace, VDI, Rooms, Meeting SDK) aux versions corrigées listées plus haut, en priorité sur les postes Windows VDI et les salles de réunion exposées.
2. Vérifier que l'auto-update est activé côté Zoom et que les déploiements VDI, souvent plus lents à mettre à jour, ne traînent pas en version 6.6.x.
3. Considérer que les réunions avec partage d'écran et annotation ouvertes à l'extérieur (webinaires, sessions de support, événements publics) constituent la surface la plus exposée : restreindre le rôle d'annotateur aux organisateurs quand c'est possible.
4. Surveiller la liste des bulletins Zoom — une quatrième faille (ZSB-26018, path traversal VDI) publiée le même jour suggère une vague de corrections à suivre.

Le scénario — un participant malveillant prend le contrôle d'un autre via un simple dessin — illustre combien les fonctions de collaboration en temps réel, conçues pour la fluidité, reposent sur une confiance implicite dans les données qui transitent entre clients. Pour l'heure, et parce que les correctifs ont précédé la publicité, le risque reste théorique. La facilité décrite par les chercheurs, elle, ne l'est plus.