Zoom a publié un correctif de sécurité pour une vulnérabilité critique affectant son client Zoom Workplace pour Windows. Identifiée sous la référence CVE-2026-53412, cette faille pourrait permettre à un attaquant distant non authentifié de prendre le contrôle d’un compte utilisateur via le réseau, sans nécessiter d’interaction de la victime. Les détails de la vulnérabilité sont disponibles dans le bulletin de sécurité officiel ZSB-26014 de Zoom : https://explore.zoom.us/en/trust/security/security-bulletin/.
Avec un score CVSS de 9,8/10, cette vulnérabilité figure parmi les plus critiques publiées cette année. Elle résulte d’une validation insuffisante des entrées, une faiblesse qui peut être exploitée pour compromettre des comptes Zoom dans certains environnements Windows.
Une vulnérabilité critique affectant Zoom Workplace
Selon Zoom, la faille concerne les versions suivantes :
- Zoom Workplace pour Windows antérieures à la version 7.0.0 ;
- Zoom Workplace VDI Client pour Windows antérieures aux versions 7.0.10, 6.6.15 et 6.5.18, selon les branches de maintenance.
L’éditeur précise que le Zoom Meeting SDK pour Windows ne fait finalement pas partie des produits vulnérables, après une mise à jour de son avis de sécurité publiée le 15 juillet 2026.
Les utilisateurs peuvent télécharger les versions corrigées depuis le centre de téléchargement officiel de Zoom : https://zoom.us/download.
Une prise de contrôle de compte possible à distance
La vulnérabilité CVE-2026-53412 permettrait à un attaquant non authentifié de compromettre un compte utilisateur via un accès réseau.
Même si Zoom n’a pas publié les détails techniques complets afin d’éviter une exploitation prématurée, ce type de vulnérabilité peut avoir des conséquences importantes pour les entreprises utilisant la plateforme comme outil de communication quotidien.
Une exploitation réussie pourrait notamment permettre :
- l’usurpation de l’identité d’un utilisateur ;
- l’accès à des réunions confidentielles ;
- la modification des paramètres du compte ;
- la récupération d’informations sensibles liées aux réunions ;
- le lancement d’attaques d’ingénierie sociale en utilisant un compte légitime.
Le fait que cette faille soit exploitable sans interaction de l’utilisateur augmente considérablement son niveau de criticité.
Les entreprises invitées à appliquer les correctifs immédiatement
Les organisations utilisant Zoom Workplace doivent identifier rapidement les postes Windows exécutant une version vulnérable et déployer les correctifs disponibles.
Les équipes de cybersécurité sont également invitées à :
- inventorier toutes les versions de Zoom installées ;
- mettre à jour les postes les plus sensibles en priorité ;
- surveiller les connexions inhabituelles aux comptes Zoom ;
- vérifier toute modification non autorisée des paramètres utilisateurs ;
- renforcer la supervision des réunions sensibles après le déploiement du correctif.
Les recommandations de sécurité de Zoom sont détaillées sur le Trust Center de l’éditeur : https://explore.zoom.us/en/trust/.
Une vigilance renforcée face aux outils de collaboration
Les plateformes de collaboration telles que Zoom, Microsoft Teams ou Google Meet sont devenues des cibles privilégiées pour les cybercriminels. Une compromission de compte peut offrir un accès direct à des informations confidentielles, faciliter l’espionnage d’entreprise ou servir de point d’entrée pour des campagnes de phishing ciblées.
Cette nouvelle vulnérabilité rappelle l’importance de maintenir les logiciels de visioconférence à jour, de déployer l’authentification multifacteur (MFA) et de surveiller en permanence les activités suspectes sur les comptes utilisateurs.
Le correctif étant désormais disponible, les administrateurs sont encouragés à l’appliquer sans délai afin de réduire les risques d’exploitation de CVE-2026-53412.
Sources
- Zoom Security Bulletin (ZSB-26014) : https://explore.zoom.us/en/trust/security/security-bulletin/
- Centre de téléchargement Zoom : https://zoom.us/download
- Zoom Trust Center : https://explore.zoom.us/en/trust/
- Article d’origine : Cyber Security News – https://cybersecuritynews.com/
