Zoom annonce le déploiement progressif de correctifs pour plusieurs vulnérabilités touchant ses produits. Parmi elles, une faille critique permet une zero-click RCE, c’est-à-dire l’exécution de code à distance sans interaction requise de la victime. L’impact concerne les clients sur toutes les plateformes prises en charge.
Les problèmes les plus graves ont été observés dans une fonctionnalité liée à l’annotation, qui s’appuie sur un protocole propriétaire. Une société de cybersécurité explique que l’exploitation repose sur le fait que le client Zoom traite automatiquement les données reçues, puis peut être amené à corrompre la mémoire et à exécuter du code.
Une zero-click RCE via le protocole d’annotation
Selon les informations publiées, la vulnérabilité la plus sévère porte le nom CVE-2026-53413. Il s’agit d’un cas de corruption de mémoire pouvant permettre à un participant à une réunion d’exécuter du code sur la machine d’un autre participant.
Le mécanisme décrit par l’éditeur de la découverte s’appuie sur un comportement de traitement automatique côté client : lorsque le logiciel reçoit un message spécialement forgé, il peut altérer la mémoire du système récepteur et déclencher l’exécution. L’attaque peut être rendue possible parce que le protocole utilisé par la fonction d’annotation ouvre un canal direct entre une personne qui visualise et une personne qui partage.
Une fois la faille exploitée, l’attaquant peut viser des participants individuellement. La société de cybersécurité indique que l’exploit permettrait à l’agresseur de rejoindre ou d’héberger une réunion, puis de prendre le contrôle de la machine de la cible sans action nécessaire de cette dernière et sans indice visuel signalant la compromission.
Contrôles de limites insuffisants et risques supplémentaires
Le correctif ne se limite pas à la seule zero-click RCE. Zoom traite également d’autres vulnérabilités repérées dans la même fonction d’annotation, toujours associées à des erreurs de gestion de données.
CVE-2026-53414 : dépassement et déni de service
La vulnérabilité CVE-2026-53414 correspond à un second problème lié à un contrôle de bornes manquant dans l’annotateur. D’après les éléments rapportés, elle pourrait être exploitée pour provoquer une lecture hors limites (buffer overread).
Dans ce scénario, l’impact attendu n’est pas la prise de contrôle, mais la possibilité de cibler n’importe quel participant avec une attaque de type déni de service (DoS), perturbant le service plutôt que d’exécuter du code.
CVE-2026-53415 : use-after-free
La société de cybersécurité indique aussi avoir identifié CVE-2026-53415, une faiblesse de type use-after-free au sein de la fonction d’annotation. Toutefois, après le signalement, elle précise que Zoom avait déjà découvert la vulnérabilité et travaillé à son traitement.
Cette distinction signifie que la publication coordonnée des correctifs vise à aligner la disponibilité des mises à jour côté client avec les mesures effectuées côté serveur, afin de réduire le risque exploitable durant la période de transition.
Pourquoi des mises à jour coordonées comptent
La communication de la société ayant mis en évidence les problèmes insiste sur la temporalité. Pour une zero-click RCE, l’absence d’interaction de l’utilisateur augmente la gravité : un délai trop court peut compliquer la protection des environnements avant que tous les composants ne soient correctement couverts.
La société explique donc avoir priorisé une publication qui donne aux clients le temps d’installer le correctif côté client et d’appliquer en parallèle une mitigation côté serveur. Zoom publie alors les informations associées, en même temps que l’attribution des identifiants CVE.
Quelles versions sont corrigées par Zoom
Le déploiement de correctifs concerne plusieurs gammes de produits et plusieurs composants. D’après les annonces, Zoom a déjà intégré les correctifs pour les vulnérabilités liées aux trois failles majeures dans la fonction d’annotation.
Pour les versions indiquées, les correctifs s’appliquent sur toutes les plateformes prises en charge :
- Workplace : versions 7.1.5 et 7.0.6
- Rooms : version 7.1.5
- Meeting SDK : version 7.1.5
Zoom a également publié des correctifs pour des composants liés à l’usage en environnement virtuel.
- Workplace VDI Client (Windows) : versions 7.0.11 et 6.6.16
- Workplace VDI Plugins : versions 7.0.11 et 6.6.15
Ces mises à jour incluent aussi un correctif pour CVE-2026-53416, décrit comme une faille de traversal de chemin pouvant conduire à une divulgation d’informations.
Où trouver les détails et le statut des correctifs
Pour aller plus loin, Zoom renvoie vers sa page de bulletins de sécurité, où des informations complémentaires sont disponibles sur les vulnérabilités corrigées et sur leur résolution.
Si vous administrez un parc logiciel, l’action la plus importante reste la mise à jour : vérifiez les versions déployées dans votre organisation et appliquez les correctifs annoncés. En particulier, la présence d’une zero-click RCE justifie de traiter ce lot de correctifs comme prioritaire.
Conclusion : passer rapidement à la version corrigée
Avec ce cycle de mises à jour, Zoom répond à plusieurs vulnérabilités, dont une zero-click RCE au niveau de la fonction d’annotation. Les informations publiées montrent que l’attaque repose sur le traitement automatique côté client et sur un protocole reliant visualisation et partage, permettant potentiellement de cibler des participants individuels.
Pour réduire l’exposition, installez rapidement les versions corrigées de Workplace, Rooms et Meeting SDK, ainsi que les mises à jour VDI concernées sur Windows. En cas de doute, consultez les bulletins de sécurité afin de confirmer les versions qui s’appliquent à votre configuration.
Source: https://www.securityweek.com/zoom-patches-zero-click-code-execution-vulnerability/
