Zoom warns of critical account takeover vulnerability

Vulnérabilité critique de prise de contrôle de compte sur Zoom

Zoom a identifié une faille de sécurité critique affectant ses versions Windows permettant à un attaquant non authentifié de prendre le contrôle d’un compte. En parallèle, plusieurs vulnérabilités liées à l’escalade de privilèges ont été corrigées.

Points clés :

• Les vulnérabilités touchent principalement les clients Zoom Workplace, VDI et le SDK pour Windows.
• Le vecteur d’attaque principal pour la faille critique est une validation inadéquate des entrées réseau.
• Aucune preuve d’exploitation active n’a été constatée à ce jour.

Vulnérabilités identifiées :

• CVE-2026-53412 (Score 9.8/10) : Validation inadéquate des entrées permettant une prise de contrôle de compte à distance par un utilisateur non authentifié.
• CVE-2026-53410 : Condition de concurrence (TOCTOU) permettant une escalade de privilèges locale lors de l’installation ou de la désinstallation.
• CVE-2026-53409 : Gestion inappropriée des privilèges dans Zoom Rooms, permettant une élévation de droits en accès local.
• CVE-2026-53411 : Validation inadéquate des entrées dans le plugin VDI, permettant une escalade de privilèges locale.

Recommandations :

• Mettre à jour immédiatement les clients Zoom Workplace pour Windows vers la version 7.0.0 ou supérieure.
• Appliquer les correctifs spécifiques pour les clients VDI (versions 7.0.10, 6.6.15, 6.5.18 selon la configuration) et les autres composants (Zoom Rooms, SDK) en installant les dernières mises à jour fournies par le constructeur.

Source