Trois CVE publiées le 11 août autour du moteur d’annotation

Zoom a publié le 11 août 2026 trois bulletins visant la fonction d’annotation de ses clients. CVE-2026-53413 correspond à une écriture hors limites dans un tampon, CVE-2026-53414 à une lecture hors limites et CVE-2026-53415 à un use-after-free, c’est-à-dire la réutilisation d’une zone mémoire après sa libération. Les première et troisième failles peuvent, selon Zoom, permettre à un participant d’exécuter du code à distance sur l’appareil d’un autre participant via le réseau. La deuxième peut provoquer un déni de service.

Le scénario n’est pas celui d’un lien piégé reçu par e-mail. L’attaquant doit déjà participer à une réunion et atteindre le moteur qui traite les objets d’annotation associés à un écran partagé ou à un tableau blanc. A Security, à l’origine du signalement des deux premières vulnérabilités, explique que les messages étaient automatiquement analysés par les clients vulnérables. Une fois dans la réunion, aucune validation supplémentaire de la victime n’était nécessaire pour déclencher le traitement malveillant.

Des versions corrigées différentes selon Workplace, VDI, Rooms et le SDK

Pour CVE-2026-53413 et CVE-2026-53414, Zoom classe comme affectés Zoom Workplace avant 7.1.5 ou 7.0.6 dans les branches correspondantes, le client VDI Windows avant 7.0.11 ou 6.6.16, ainsi que Zoom Rooms et Meeting SDK avant 7.1.0. Pour CVE-2026-53415, Workplace et VDI conservent les mêmes seuils, mais Zoom Rooms et Meeting SDK doivent atteindre 7.1.5. Installer la dernière version proposée évite d’avoir à choisir manuellement entre ces branches.

Fenêtre officielle Zoom permettant de sélectionner un écran, une application ou un tableau blanc à partager.
Le moteur concerné traite notamment les annotations associées au partage d’écran et au tableau blanc. Le visuel montre l’interface normale, pas une attaque.

La chronologie est plus ancienne que la publication publique. A Security indique avoir découvert le premier problème le 8 juin, l’avoir signalé le 10 juin, puis avoir vu un correctif client arriver dans la version 7.1.0 le 22 juin. Une atténuation côté serveur a suivi le 15 juillet et la version 7.1.5 a fermé le dernier chemin client le 20 juillet. Le 11 août est donc la date de divulgation et des bulletins, non celle du premier correctif.

Pourquoi le partage d’écran transformait un participant en point d’entrée

L’annotation ne transporte pas seulement une image aplatie. Le client échange des objets décrivant du texte, des traits, des formes et leur mise en forme, puis reconstruit ces objets sur les autres appareils. D’après l’analyse technique, certains compteurs reçus par le réseau n’étaient pas correctement comparés à la taille des zones mémoire destinées à les accueillir. Un message spécialement construit pouvait alors écraser ou exposer de la mémoire et ouvrir une voie vers l’exécution de code.

La portée concrète dépendait de la place occupée dans l’appel. Le présentateur partageant son écran disposait de canaux vers les participants ; un participant pouvait aussi viser le présentateur. WIRED rapporte que le problème concernait les systèmes natifs pris en charge, notamment Windows, macOS, Linux, iOS et Android. Le client web, qui n’expose pas le même ensemble de fonctions d’annotation, ne figure pas dans les produits affectés des bulletins Zoom.

Utilisateur participant à une réunion Zoom avec un écran contenant des graphiques partagés.
Une réunion de travail ou de création peut réunir des appareils très différents. La mise à jour doit couvrir chaque client natif utilisé.

Mise à jour immédiate, contrôle des invités et prudence sur les scores

Zoom attribue un score CVSS 3.1 de 8,3, niveau élevé, aux deux vulnérabilités permettant l’exécution de code et 6,5, niveau moyen, au déni de service. A Security emploie CVSS 4.0 et avance 9,0 pour l’ensemble. Ces nombres ne sont pas directement interchangeables : version du référentiel, hypothèses et impact retenu diffèrent. Les bulletins du fournisseur restent la référence opérationnelle pour les versions affectées.

A Security affirme avoir trouvé les failles et construit une démonstration fonctionnelle en moins de vingt requêtes adressées à des modèles d’IA publics. WIRED a recueilli le récit des chercheurs, mais aucune reproduction indépendante complète n’est publiée dans les sources consultées. Ce résultat illustre une accélération possible de la recherche offensive ; il ne prouve pas que n’importe quel utilisateur peut générer un exploit fiable sans compétences en rétro-ingénierie.

Pour un utilisateur, un streamer ou une équipe esport, la bonne réponse reste simple : mettre Zoom à jour depuis le canal officiel, éviter les liens de réunion publics, utiliser salle d’attente et authentification, puis limiter le partage d’écran et l’annotation aux personnes qui en ont besoin. Les administrateurs peuvent imposer une version minimale. Aucune exploitation malveillante active n’est documentée dans les sources examinées, mais la publication des détails réduit l’intérêt d’attendre.

Le chiffrement de bout en bout ne remplaçait pas le correctif. Selon les chercheurs, l’atténuation serveur ne pouvait pas inspecter les messages chiffrés de bout en bout, alors qu’un participant malveillant détenait déjà les clés de la réunion. Une version client corrigée reste donc nécessaire, même dans une organisation qui réserve ce mode aux conversations sensibles.