Zoom Workplace : une faille critique et une faille élevée corrigées sous Windows

Zoom a publié des correctifs pour deux vulnérabilités affectant Workplace sous Windows, dont une faille critique d’élévation de privilèges notée 9,6 sur l’échelle CVSS. Référencées CVE-2026-108186 et CVE-2026-108187, elles pourraient permettre à un attaquant non authentifié d’obtenir des privilèges supplémentaires à distance, à condition que l’utilisateur interagisse. Les entreprises sont invitées à déployer rapidement les mises à jour.

Zoom renforce la sécurité de son application collaborative Workplace pour Windows. Dans deux bulletins publiés le 10 novembre 2026, l’éditeur américain détaille des vulnérabilités susceptibles de compromettre les postes de travail. La plus sévère, CVE-2026-108186, obtient un score CVSS de 9,6 sur 10, correspondant à une gravité critique.

Cette faille résulte d’une validation insuffisante des données en entrée. Elle pourrait permettre à un attaquant ne disposant pas d’identifiants d’élever ses privilèges à distance, par l’intermédiaire du réseau. Son exploitation nécessite toutefois une interaction de l’utilisateur, conformément au vecteur CVSS publié par Zoom. Ce vecteur indique également un changement de périmètre : une exploitation réussie pourrait affecter des ressources au-delà du seul composant vulnérable. Les versions de Workplace pour Windows comprises entre 7.1.0 incluse et 7.1.8 exclue sont concernées.

Selon Zoom, la vulnérabilité a été identifiée par son équipe de sécurité offensive. Elle fait l’objet du bulletin ZSB-26023. L’éditeur ne fournit pas davantage de précisions sur son mécanisme d’exploitation. La version 7.1.8 constitue le premier correctif disponible pour les installations affectées de cette branche.

Une seconde vulnérabilité liée à la validation d’origine

Le deuxième correctif concerne CVE-2026-108187, une faille de gravité élevée, évaluée à 8,1 sur l’échelle CVSS. Répertoriée dans le bulletin ZSB-26024, elle provient d’un défaut de validation d’origine, susceptible d’affecter la vérification de la provenance de certaines données.

Cette vulnérabilité pourrait également permettre à un attaquant non authentifié de procéder à une élévation de privilèges via le réseau. Une interaction de l’utilisateur est néanmoins nécessaire. Contrairement à la première faille, son exploitation ne présente pas d’incidence sur la disponibilité du système selon l’évaluation CVSS, mais pourrait compromettre la confidentialité et l’intégrité des données.

Les versions de Zoom Workplace pour Windows antérieures à la 7.1.5 sont concernées. Le problème, signalé par un chercheur identifié sous le pseudonyme shmoul, a été corrigé dans cette version. Les entreprises utilisant les versions 7.1.5 à 7.1.7 restent toutefois exposées à CVE-2026-108186.

Une précédente faille critique corrigée en juillet

Ces correctifs interviennent quelques mois après la découverte d’une autre vulnérabilité majeure dans les logiciels Zoom pour Windows. En juillet 2026, l’éditeur avait corrigé CVE-2026-53412, une faille de validation des entrées notée 9,8 sur l’échelle CVSS, référencée dans le bulletin ZSB-26014.

Cette dernière pouvait permettre à un attaquant non authentifié de prendre le contrôle d’un compte à distance, sans interaction de la victime. Elle affectait Zoom Workplace pour Windows dans les versions antérieures à 7.0.0, ainsi que certaines versions du client VDI pour Windows. Le Meeting SDK avait initialement été mentionné parmi les produits concernés, avant d’être retiré de cette liste par Zoom le 15 juillet.

Les deux vulnérabilités dévoilées en novembre présentent des caractéristiques différentes. Leur exploitation nécessite notamment une interaction de l’utilisateur, contrairement à la faille corrigée en juillet. Zoom ne mentionne pas d’exploitation active dans ses nouveaux bulletins de sécurité, et les deux failles ne figuraient pas au 11 novembre dans le catalogue des vulnérabilités activement exploitées de l’agence américaine CISA. Cette absence de signalement ne permet toutefois pas d’exclure d’éventuelles tentatives d’attaque.

Les DSI appelées à accélérer les mises à jour

Pour les directions informatiques et les RSSI, la priorité consiste à identifier les postes Windows utilisant les versions vulnérables de Zoom Workplace. Les équipes responsables de la gestion du parc doivent vérifier les installations, déployer les correctifs et s’assurer de leur application effective.

Une attention particulière doit être portée aux postes dont les mises à jour automatiques sont désactivées ou retardées par les procédures internes de validation logicielle. Les entreprises peuvent s’appuyer sur leurs outils de gestion des terminaux pour inventorier les installations et organiser les déploiements.

Compte tenu de la gravité de CVE-2026-108186, une mise à jour rapide vers Zoom Workplace 7.1.8 ou une version ultérieure est recommandée. Elle permet de corriger les deux vulnérabilités et de réduire l’exposition des environnements professionnels, sans attendre de nouvelles précisions techniques sur leurs mécanismes d’exploitation.