Des chercheurs ont découvert trois vulnérabilités dans la plateforme de réunion populaire Zoom qui pourraient permettre à un participant d'attaquer un autre participant via des données de collaboration malveillantes.
Les vulnérabilités, référencées CVE-2026-53413 , CVE-2026-53414 et CVE-2026-53415 , affectent le code utilisé par Zoom pour traiter les données d'annotation partagées lors des réunions. Les chercheurs ont baptisé cet ensemble de failles « Zoomsday ».
Les applications concernées sont :
- Zoom Workplace sur toutes les plateformes prises en charge avant les versions 7.1.5 et 7.0.6, selon la branche de publication
- Client VDI Zoom Workplace pour Windows avant les versions 7.0.11 et 6.6.16, selon la branche de publication
- Zoom Rooms sur toutes les plateformes prises en charge avant la version 7.1.5
- Kit de développement logiciel (SDK) Zoom Meeting sur toutes les plateformes prises en charge avant la version 7.1.5
Que peut-il se passer ?
Cela signifie qu'un participant à la même réunion Zoom pourrait envoyer des données que l'application Zoom n'est pas conçue pour traiter. Au lieu d'afficher simplement un dessin, une zone de texte ou une autre annotation, un client vulnérable pourrait être amené à planter, à divulguer des informations, voire à exécuter du code malveillant.
Les fonctionnalités d'annotation semblent simples, mais le processus sous-jacent est complexe. Votre client Zoom reçoit des données structurées d'un autre participant et les transforme en un objet affichable à l'écran. D'après l'étude, l'analyseur d'annotations contenait plusieurs failles de sécurité liées à la gestion de la mémoire. Comme tout logiciel traitant des données tierces, il est impératif de vérifier scrupuleusement les longueurs, les nombres d'occurrences et les références avant leur utilisation.
Étonnamment, il existe une divergence entre les évaluations de gravité attribuées par les chercheurs, qui les ont qualifiées de critiques , et Zoom, qui les a qualifiées d' élevées .
La différence semble résider dans la manière dont les vulnérabilités sont évaluées selon le système de notation des vulnérabilités communes ( score CVSS ). Zoom considère qu'une exploitation réussie nécessite une interaction de l'utilisateur.
En pratique, un attaquant doit d'abord accéder à la même réunion que sa victime. Cela peut impliquer de rejoindre une réunion ouverte, d'utiliser un lien de réunion divulgué, de se faire passer pour un participant attendu ou de compromettre un compte ayant déjà accès à la réunion. Zoom considère qu'il s'agit d'une interaction avec l'utilisateur si l'attaquant persuade la cible de rejoindre une réunion dans le but de compromettre son ordinateur.
Comment rester en sécurité
Zoom a publié un bulletin de sécurité expliquant quels programmes doivent être mis à jour et où trouver les versions corrigées.
Pour vous protéger de Zoomsday et tenir des réunions en toute sécurité :
- Mettez à jour Zoom vers la dernière version dès que possible.
- Limitez l'accès à vos réunions Zoom . Utilisez des mots de passe, des salles d'attente, des restrictions d'accès réservées aux utilisateurs authentifiés et des liens de réunion uniques pour les appels sensibles.
- Si des fonctionnalités comme l'annotation, les tableaux blancs, le contrôle à distance, le transfert de fichiers ou les applications tierces ne sont pas nécessaires, envisagez de les désactiver, notamment pour les réunions à invitation ouverte.
- Une réunion interrompue une seule fois ne prouve pas qu'il s'agit d'une attaque, mais si cela se produit régulièrement, il est judicieux d'enquêter.
- Utilisez une solution anti-malware à jour et en temps réel pour bloquer les codes malveillants sur vos appareils.
- Les organisations doivent également vérifier leurs outils de gestion des appareils pour s'assurer que chaque client Zoom déployé reçoit les mises à jour.
Du signalement des menaces à leur suppression.
Les risques de cybersécurité ne devraient jamais se propager au-delà d'un titre. Éliminez les menaces de vos appareils en téléchargeant Malwarebytes dès aujourd'hui.
