Un participant à ta réunion Zoom pouvait prendre le contrôle de ta machine. L'exploitation a demandé moins de vingt prompts, ces instructions données à une IA.

Lundi, une entreprise de sécurité israélienne a publié les détails d'une faille de Zoom, baptisée Zoomsday. Le principe est simple : une personne présente dans la même réunion que toi peut exécuter du code sur ta machine. Tu ne cliques sur rien. Tu ne télécharges rien. Tu rejoins simplement la réunion.

Cinq collègues et un invité. Personne n'a rien remarqué, il avait un casque comme tout le monde.

Zoom a corrigé la faille, et la note officielle vaut le détour. Le bulletin ZSB-26015 référence la faille sous le numéro CVE-2026-53413. Elle est classée High, avec un score de 8,3 sur 10. La description tient en une phrase d'une sobriété assez glaçante : la fonction d'annotation ne vérifie pas correctement les limites de la mémoire. Un participant peut donc écrire des données au mauvais endroit et, à partir de là, exécuter du code sur la machine d'un autre participant.

La fonction d'annotation, c'est le petit crayon qui sert à gribouiller sur l'écran partagé pendant que ton chef présente ses camemberts.

Comment on entre par le crayon

Le mécanisme est presque vexant de simplicité. Je m'attendais à quelque chose d'obscur. Pas du tout.

Quand tu dessines un rond rouge sur l'écran partagé, Zoom n'envoie pas une image. Il envoie une description de l'objet : un rond, une couleur et des coordonnées. Ces données sont sérialisées, c'est-à-dire rangées dans un format que le logiciel peut transmettre. Elles traversent le serveur de Zoom, puis le client d'en face les désérialise, donc les relit, pour redessiner le rond. Classique. Efficace.

Les chercheurs ont trouvé le problème dans ce protocole. Un accusé de réception peut aussi transporter un objet. Le logiciel qui le reçoit ouvre cet objet sans vérifier si l'expéditeur a le droit de l'envoyer.

Le petit mot dit « bien reçu ». Le colis de vingt kilos scotché en dessous ne dit rien, lui.

Dans le monde réel, imagine une feuille A5 qui dit « bien reçu, merci ». Quelqu'un a scotché un colis de vingt kilos dessous, et ton facteur l'ouvre pour toi sans regarder l'expéditeur. Voilà la faille.

Il faut ensuite construire l'exploitation, et ce n'est pas un script de trois lignes. Le vecteur officiel indique AC:H, ce qui signifie que l'attaque est complexe. Sur macOS, les chercheurs ont fait planter Safari en dépassant les limites d'une zone de mémoire appelée pile. Sur Android, ils ont manipulé une autre zone, le tas, pour modifier des pointeurs qui indiquent au programme quel code exécuter. Ils y sont parvenus sans même connaître à l'avance les adresses utilisées en mémoire. Si tu as décroché, retiens ceci : le mécanisme de départ est simple, mais son exploitation demande une sacrée maîtrise.

Et c'est là que ça pique

Ce travail d'orfèvre a été réalisé en moins de vingt-quatre heures. Avec moins de vingt prompts, donc moins de vingt instructions données à des modèles d'IA accessibles au public.

Les chercheurs ne nomment pas les modèles. Ils parlent seulement de « modèles de pointe accessibles publiquement ». En revanche, ils détaillent les étapes. C'est cette liste qui m'a fait poser mon café :

• Premier prompt : repérer les points attaquables dans 121 bibliothèques natives, ces composants exécutés directement par le système.
• Deuxième : comprendre le protocole d'annotation en analysant son fonctionnement interne.
• Troisième : examiner le code qui relit les données reçues pour y chercher des erreurs de mémoire.
• Quatrième : fabriquer le paquet piégé et l'envoyer par le véritable système de communication de Zoom.
• Cinquième : détourner l'exécution du programme sur macOS à l'aide de petits morceaux de code déjà présents en mémoire.

Faille découverte le 8 juin. Exécution de code confirmée le 9. Problème signalé à Zoom le 10. Une personne, un week-end prolongé et une faille qui touche à la fois Windows, macOS, iOS et Android.

Le budget de gauche tenait dans un coffre. Celui de droite tient dans un abonnement mensuel.

Il y a encore deux ans, ce genre de recherche demandait une équipe d'État, des mois de travail et un budget qu'on préfère ne pas afficher. Les chercheurs le disent sans détour : la barrière qui rendait ces armes rares s'est effondrée, et elle ne reviendra pas.

Bon, ne nous emballons pas. Il fallait tout de même savoir quoi demander, et dans quel ordre. Les cinq prompts ci-dessus ne sont pas les questions d'un curieux du dimanche. C'est le plan de travail de quelqu'un qui sait exactement ce qu'il cherche. L'IA n'a pas eu l'idée. Elle a effectué le travail de fourmi qui prenait auparavant six mois. Ça reste énorme.

Le mot « zero-click » et le petit mensonge de tout le monde

Toute la presse a titré « zero-click », autrement dit une attaque qui ne demande aucun clic de la victime. Moi aussi, c'est ce que j'ai pensé en lisant. Sauf que le vecteur officiel publié par Zoom dit autre chose :

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Regarde le UI:R. Ce code signifie « interaction utilisateur requise ». Techniquement, ce n'est donc pas du zero-click.

Sauf que l'interaction demandée consiste à rejoindre la réunion. Rien de plus. Tu cliques sur le lien du rendez-vous de 9 h, et tu as fait ta part. Les deux lectures se défendent. Je préfère te donner le code exact plutôt que le mot qui claque.

Autre nuance : l'attaquant doit être dans la réunion. Il peut la rejoindre ou l'héberger, mais il doit être présent. L'attaque ne peut donc pas venir de n'importe qui sur Internet. Cela dit, si tu organises des webinaires avec un lien public ou si tu acceptes des invités inconnus, la différence devient assez théorique.

Ce que tu fais ce matin, en deux minutes

Deux minutes, et tu peux retourner à ton café.

Ouvre Zoom. Clique sur ta photo de profil, en haut à droite, puis sur Vérifier les mises à jour. Si ta version est antérieure à 7.1.5, mets-la à jour depuis la page de téléchargement. Le SDK désigne le kit utilisé pour intégrer Zoom dans une application. Le client VDI concerne les postes de travail virtuels. D'après le bulletin, les versions corrigées sont les suivantes :

Zoom Workplace          7.1.5  ou  7.0.6
Zoom Rooms              7.1.0  et au-dela
Zoom Meeting SDK        7.1.0  et au-dela
Zoom VDI Client         7.0.11 ou  6.6.16
Zoom VDI Plugins        7.0.11 ou  6.6.15

Si tu organises des réunions ouvertes, passe aussi dans les réglages et désactive l'annotation quand tu n'en as pas besoin. Deux clics, et tu retires à toute cette famille de bugs son point d'entrée. Pas seulement à celui-ci.

Deux bonnes nouvelles, tout de même. Zoom a appliqué une mesure de protection sur ses serveurs dès le 15 juillet. Les clients qui n'étaient pas encore à jour n'étaient donc pas complètement à poil pendant l'été. Deux autres failles de la série sont aussi moins graves : CVE-2026-53414 fait seulement planter le client d'un participant, et CVE-2026-53416 ne concerne que les clients VDI, que tu n'as probablement jamais installés.

Et si tu n'utilises pas Zoom, ça te concerne quand même

Ce n'est pas seulement une histoire de Zoom. C'est une histoire de coût.

Ta box Internet, ta télé connectée, la caméra installée dans ton garage ou l'application bancaire de ton téléphone contiennent toutes du vieux code. Et dans ce code, il peut manquer un contrôle. Ces bugs ont toujours existé. Ce qui vient de changer, c'est le prix à payer pour les trouver.

Avant, un bug pareil pouvait dormir tranquillement. Personne n'avait forcément six mois et une équipe à consacrer à un logiciel de visioconférence. Maintenant, un curieux compétent et un dimanche peuvent suffire. On trouvera donc davantage de failles, ce qui entraînera davantage de mises à jour. Désolé, mais il va falloir arrêter de repousser « Installer plus tard » pendant trois semaines.

Ça me fait penser au crochetage des serrures. Pendant un siècle, il fallait apprendre la technique. Puis les tutoriels et les outils à dix euros sont devenus accessibles à tout le monde. L'industrie de la serrure a dû se réveiller. Personne ne l'a regretté : nos serrures actuelles sont bien meilleures que celles de 1990. Mais les années de transition ont été désagréables.

On est dans ces quelques années.

Ce que j'en pense

La partie technique est brillante, et je tire mon chapeau. Signalement le 10 juin, correctif pour les clients le 22, protection sur les serveurs en juillet, puis publication le 11 août : tout le monde a travaillé dans le bon ordre. Ça mérite d'être dit, justement parce qu'on le dit rarement.

Ce qui me travaille, c'est la phrase des chercheurs sur la barrière effondrée. Leur réponse consiste à utiliser cette même capacité contre ses propres logiciels, en continu, avant que quelqu'un d'autre ne le fasse. Sur le papier, c'est imparable. En pratique, les éditeurs doivent avoir les moyens et l'envie d'adopter ce réflexe. Pour chaque Zoom qui corrige en douze jours, il y a une marque de caméra qui ne répondra jamais à ton mail.

Alors oui, je vais mettre Zoom à jour. Et je regarderai mes propres bricoles d'un œil différent, parce que celui qui y trouvera une faille n'aura plus besoin de six mois. Juste d'un dimanche et d'un café.