Deux vulnérabilités récemment divulguées dans Zoom pourraient permettre à des attaquants d’obtenir des privilèges élevés sur les ordinateurs Windows concernés.
Zoom a publié des mises à jour de sécurité corrigeant deux vulnérabilités de son application Workplace pour Windows, dont une faille critique notée 9,6 sur 10. Ces vulnérabilités pourraient permettre à des attaquants non authentifiés d’élever leurs privilèges via un accès réseau, ce qui pourrait mettre en danger les appareils professionnels et personnels concernés.
L’entreprise a divulgué ces problèmes le 10 novembre, ce qui rend cette mise à jour particulièrement opportune pour les organisations qui utilisent Zoom au quotidien pour communiquer. Zoom n’a signalé aucune exploitation active de ces deux vulnérabilités dans ses avis de sécurité, mais les utilisateurs de Windows et les administrateurs informatiques devraient vérifier les versions installées et appliquer les derniers correctifs.
- Les failles de sécurité de Zoom pourraient permettre à des attaquants d’obtenir des privilèges élevés
- Une deuxième vulnérabilité de Zoom affiche un score de gravité de 8,1
- Pourquoi les vulnérabilités de Zoom sont importantes pour les entreprises
- Comment mettre à jour Zoom Workplace pour Windows
- Aucune exploitation confirmée signalée, mais l’application des correctifs reste importante
Les failles de sécurité de Zoom pourraient permettre à des attaquants d’obtenir des privilèges élevés
Selon l’avis de sécurité de Zoom, la vulnérabilité la plus grave, CVE-2026-108186, découle d’une validation incorrecte des entrées dans Zoom Workplace pour Windows.
Une validation incorrecte des entrées se produit lorsque les logiciels ne vérifient pas suffisamment les informations qu’ils reçoivent ou traitent. Selon le composant concerné, des attaquants peuvent exploiter cette faiblesse pour provoquer un comportement imprévu.
Zoom indique que cette vulnérabilité pourrait permettre à un attaquant non authentifié d’élever ses privilèges via un accès réseau. Concrètement, l’élévation de privilèges peut permettre à un attaquant d’obtenir un accès ou des autorisations supérieurs à ceux dont il dispose normalement.
Cette vulnérabilité affiche un score CVSS critique de 9,6, avec des impacts potentiels élevés sur la confidentialité, l’intégrité et la disponibilité. Son évaluation indique également que son exploitation nécessite une interaction de l’utilisateur, même si les attaquants n’ont pas besoin de privilèges préexistants.
Zoom n’a pas détaillé publiquement l’action nécessaire pour déclencher l’exploitation.
La vulnérabilité affecte les versions 7.1.0 à 7.1.7 de Zoom Workplace pour Windows. Les versions 7.1.8 et ultérieures ne sont pas concernées.
Une deuxième vulnérabilité de Zoom affiche un score de gravité de 8,1
Zoom a également divulgué la vulnérabilité CVE-2026-108187, une faille distincte de gravité élevée liée à une erreur de validation de l’origine.
Selon le deuxième bulletin de sécurité de l’entreprise, cette faille pourrait elle aussi permettre à un attaquant non authentifié d’élever ses privilèges via un accès réseau.
La validation de l’origine est un mécanisme de sécurité utilisé pour déterminer si les requêtes ou les informations proviennent d’une source acceptable. Des faiblesses dans ces contrôles peuvent compromettre les limites sur lesquelles les logiciels s’appuient pour distinguer les activités fiables des activités non fiables.
Cette vulnérabilité affiche un score CVSS de 8,1 et affecte les versions de Zoom Workplace pour Windows antérieures à la version 7.1.5.
Comme la vulnérabilité critique CVE-2026-108187, elle nécessite une interaction de l’utilisateur selon son évaluation CVSS. Zoom n’a pas précisé quelle action constituerait une exploitation.
Voici comment se comparent les deux vulnérabilités :
Vulnérabilité | Gravité | Versions de Windows concernées |
|---|---|---|
| CVE-2026-108186 | Critique, 9,6 | 7.1.0 à 7.1.7 |
| CVE-2026-108187 | Élevée, 8,1 | Antérieures à la version 7.1.5 |
Les deux vulnérabilités impliquent une élévation de privilèges, même si elles découlent de faiblesses sous-jacentes différentes.
Zoom n’a pas divulgué de chaîne d’exploitation technique complète pour l’un ou l’autre de ces problèmes. Les avis de sécurité de l’entreprise ne font pas non plus état d’attaques confirmées exploitant ces vulnérabilités.
Pourquoi les vulnérabilités de Zoom sont importantes pour les entreprises
Zoom est largement utilisé pour les réunions professionnelles, la collaboration et la communication, ce qui rend les vulnérabilités de son logiciel de bureau pertinentes pour les organisations de toutes tailles.
Le problème est particulièrement important pour les entreprises qui gèrent un grand nombre de postes Windows. Une application de collaboration vulnérable peut créer une exposition supplémentaire aux risques de sécurité, notamment lorsque les employés utilisent régulièrement le logiciel tout au long de la journée de travail.
Les vulnérabilités permettant une élévation de privilèges méritent une attention particulière, car elles peuvent permettre aux attaquants de dépasser leur niveau d’accès initial. Selon la vulnérabilité et les conditions environnantes, des autorisations élevées pourraient accroître la capacité d’un attaquant à accéder à des informations sensibles ou à perturber le fonctionnement des systèmes.
Il ne faut toutefois pas confondre l’impact potentiel avec la preuve d’une compromission réelle. Zoom n’a signalé aucune exploitation active de l’une ou l’autre des failles récemment divulguées dans ses avis de sécurité.
Ces nouvelles informations font également suite à de précédents problèmes de sécurité touchant le logiciel Windows de Zoom. En juillet, eSecurity Planet a rapporté que Zoom avait corrigé une vulnérabilité critique permettant la prise de contrôle de comptes qui pouvait permettre à des attaquants non authentifiés de compromettre des comptes utilisateurs.
Un autre article publié en août a examiné comment des chercheurs ont utilisé l’IA pour découvrir une chaîne d’exploitation zero-click de Zoom. Ces incidents concernaient des vulnérabilités différentes, mais ils montrent pourquoi les outils de collaboration largement déployés nécessitent une vigilance constante en matière de sécurité.
Plus généralement, l’élévation de privilèges reste un problème récurrent dans les logiciels d’entreprise. eSecurity Planet s’est précédemment penché sur la vulnérabilité ShieldBreak de Windows Defender, qui a suscité des inquiétudes quant à la possibilité pour des attaquants d’obtenir des autorisations de niveau SYSTEM sur les appareils Windows concernés.
Comment mettre à jour Zoom Workplace pour Windows
Zoom recommande d’installer les dernières mises à jour logicielles disponibles pour corriger ces vulnérabilités.
Pour les utilisateurs de Windows, la priorité immédiate consiste à déterminer quelle version de Zoom Workplace est installée.
Pour vérifier et mettre à jour Zoom :
- Ouvrez l’application de bureau Zoom Workplace sous Windows.
- Sélectionnez votre photo de profil, puis accédez à Aide > À propos de Zoom Workplace pour vérifier la version installée.
- Revenez au menu du profil et sélectionnez Rechercher les mises à jour, si cette option est disponible.
- Installez la dernière mise à jour disponible et redémarrez l’application si vous y êtes invité.
- Vérifiez que Zoom Workplace utilise la dernière version disponible approuvée par votre organisation.
Les utilisateurs peuvent également obtenir le dernier programme d’installation via le centre de téléchargement officiel de Zoom.
Pour les organisations qui utilisent des installations Zoom gérées de manière centralisée, le processus de mise à jour peut être différent. Certains déploiements effectués via des outils de gestion des logiciels d’entreprise n’affichent pas l’option standard de mise à jour dans l’application.
Les administrateurs informatiques doivent vérifier les versions installées sur les appareils Windows gérés et déployer les logiciels mis à jour à l’aide des outils de gestion approuvés par leur organisation.
Les équipes de sécurité devraient également prendre les précautions suivantes :
- Prioriser les appareils Windows concernés : Identifier les installations de Zoom Workplace exécutant des versions vulnérables.
- Vérifier le succès du déploiement : Confirmer que les versions mises à jour sont installées, plutôt que de se fier uniquement à l’état du déploiement.
- Examiner la surveillance de la sécurité des terminaux : Rechercher toute activité suspecte impliquant des changements inattendus de privilèges ou un comportement inhabituel de l’application.
- Tenir à jour un inventaire des applications : Suivre les logiciels de collaboration au même titre que les systèmes d’exploitation et les autres applications régulièrement corrigées.
Ces mesures peuvent aider les organisations à réduire leur exposition tout en conservant une visibilité sur leur niveau de sécurité au niveau des terminaux.
Aucune exploitation confirmée signalée, mais l’application des correctifs reste importante
Les avis publiés par Zoom le 10 novembre ne font pas état d’une exploitation active de ces deux vulnérabilités.
L’entreprise n’a pas non plus divulgué publiquement de procédures d’attaque détaillées ni d’éléments prouvant que des attaquants ont réussi à exploiter ces failles pour compromettre les appareils de ses clients.
Cette incertitude est importante. Une note de vulnérabilité critique indique des conséquences potentiellement graves dans les conditions prises en compte par son évaluation, mais elle ne prouve pas qu’une exploitation est en cours.
Pour les organisations qui gèrent des terminaux Windows, la réponse pratique est simple : identifier les installations de Zoom Workplace concernées, déployer les dernières mises à jour et vérifier que les versions vulnérables ne sont plus exécutées.
Ces divulgations rappellent une fois de plus que les applications professionnelles courantes peuvent introduire des risques de sécurité importants lorsque les mises à jour critiques sont retardées.
À lire également : pour en savoir plus sur les mises à jour urgentes de sécurité, découvrez comment Google a corrigé une faille zero-day de Chrome activement exploitée et ce que les organisations devraient faire pour protéger les appareils vulnérables.