Zoom a publié des correctifs pour deux vulnérabilités affectant Workplace pour Windows, dont une faille critique d’élévation de privilèges notée 9,6 sur l’échelle CVSS. Référencées CVE-2026-108186 et CVE-2026-108187, elles pourraient permettre à un attaquant non authentifié d’obtenir des privilèges supplémentaires à distance, à condition que l’utilisateur interagisse. Les entreprises sont invitées à déployer rapidement les mises à jour.
Dans deux bulletins publiés le 10 novembre 2026, l’éditeur américain détaille des vulnérabilités susceptibles de compromettre les postes de travail. La plus sévère, CVE-2026-108186, obtient un score CVSS de 9,6 sur 10, correspondant à une gravité critique. Cette faille pourrait permettre à un attaquant ne disposant pas d’identifiants d’obtenir davantage de droits sur un appareil, par l’intermédiaire du réseau.
Son exploitation nécessite toutefois une interaction de l’utilisateur, conformément au vecteur CVSS publié par Zoom. Les versions de Workplace pour Windows comprises entre 7.1.0 incluse et 7.1.8 exclue sont concernées. Selon Zoom, la vulnérabilité a été identifiée par son équipe de sécurité offensive, et fait l’objet du bulletin ZSB-26023. La version 7.1.8 constitue le premier correctif disponible pour les installations affectées de cette branche.
Une seconde faille de gravité élevée
Le deuxième correctif concerne CVE-2026-108187, évaluée à 8,1 sur l’échelle CVSS et répertoriée dans le bulletin ZSB-26024. Elle provient d’un défaut de validation d’origine, susceptible d’affecter la vérification de la provenance de certaines données. Elle pourrait également permettre à un attaquant non authentifié de procéder à une élévation de privilèges via le réseau, avec une interaction de l’utilisateur.
Contrairement à la première, son exploitation ne présente pas d’incidence sur la disponibilité du système selon l’évaluation CVSS, mais pourrait compromettre la confidentialité et l’intégrité des données. Les versions de Zoom Workplace pour Windows antérieures à la 7.1.5 sont concernées. Le problème, signalé par un chercheur identifié sous le pseudonyme shmoul, a été corrigé dans cette version. Les entreprises utilisant les versions 7.1.5 à 7.1.7 restent toutefois exposées à CVE-2026-108186.
Une précédente faille corrigée en juillet
Ces correctifs suivent la découverte d’une autre faille dans les logiciels Zoom pour Windows. En juillet 2026, l’éditeur avait corrigé CVE-2026-53412, une faille de validation des entrées notée 9,8 sur l’échelle CVSS, référencée dans le bulletin ZSB-26014. Elle pouvait permettre à un attaquant non authentifié de prendre le contrôle d’un compte à distance, sans interaction de la victime.
Le Meeting SDK, initialement mentionné parmi les produits concernés, a été retiré de cette liste par Zoom le 15 juillet. Contrairement aux failles de novembre, celle-ci ne nécessitait pas d’interaction de l’utilisateur. Zoom ne mentionne pas d’exploitation active dans ses nouveaux bulletins, et les deux failles ne figuraient pas au 11 novembre dans le catalogue des vulnérabilités activement exploitées de la CISA, l’agence américaine. Cette absence de signalement ne permet toutefois pas d’exclure d’éventuelles tentatives d’attaque.
Des mises à jour à déployer rapidement
Pour les directions informatiques et les RSSI, la priorité consiste à identifier les postes Windows utilisant les versions vulnérables de Zoom Workplace. Les équipes chargées de la gestion du parc doivent vérifier les installations, déployer les correctifs et s’assurer de leur application effective. Une attention particulière doit être portée aux postes dont les mises à jour automatiques sont désactivées ou retardées par les procédures internes de validation logicielle.
Compte tenu de la gravité de CVE-2026-108186, une mise à jour rapide vers Zoom Workplace 7.1.8 ou une version ultérieure est recommandée. Elle permet de corriger les deux vulnérabilités et de réduire l’exposition des environnements professionnels.
Product offers are temporarily unavailable.
