Un chercheur, moins de 20 prompts, une journée : comment l'IA a permis de créer une attaque contre Zoom

Le 11 août, l’entreprise israélienne A Security a publié une étude baptisée Zoomsday. Elle décrit trois vulnérabilités critiques de Zoom qui permettaient à un participant de prendre le contrôle de l’appareil d’une autre personne présente dans la réunion. Aucun clic ni téléchargement n’était nécessaire, la simple présence dans l’appel suffisait. Il s’agissait donc d’une attaque zero-click, sans erreur à reprocher ensuite à l’utilisateur. Répertoriées sous les références CVE-2026-53413, CVE-2026-53414 et CVE-2026-53415, les trois failles ont reçu une note critique de 9,0 et concernaient Windows, macOS, iOS, Android et Linux. Zoom les a corrigées.

Le problème se trouvait dans la fonction d’annotation, qui permet de dessiner ou d’ajouter du texte sur un écran partagé. Ces annotations ne circulent pas comme des images. Chaque trait devient un petit message structuré que le logiciel du destinataire décompresse et reconstruit. Or ce logiciel faisait confiance à une taille indiquée par l’expéditeur. Un message spécialement préparé pouvait donc écrire au-delà de la mémoire réservée, puis prendre le contrôle. Les chercheurs l’ont démontré en forçant le Mac d’une victime à ouvrir Safari à partir d’un seul message. La fonction étant toujours active, il n’était même pas nécessaire d’utiliser les annotations pour être attaqué.

La découverte principale n’est pas la faille, mais son prix. A Security l’a trouvée et a construit un exploit fonctionnel en moins de 24 heures, avec moins de 20 prompts adressés à des modèles d’IA accessibles au public. Zoom est un logiciel propriétaire dont le protocole n’est pas publié, précisément le type de cible qui exigeait autrefois une équipe d’élite, des mois de rétro-ingénierie et un budget soumis aux contrôles gouvernementaux sur les exportations d’armes. Les chercheurs le disent sans détour : cette barrière s’est effondrée et ne reviendra pas.

Deux réalités coexistent. La capacité qui réduit le coût des attaques réduit aussi celui de la défense. C’est déjà la troisième histoire de ce type en quinze jours, après la découverte de deux failles zero-day dans Chrome par GPT-5.6-Cyber d’OpenAI et de nouvelles attaques HTTP par le système d’IA de PortSwigger. L’IA ne transforme pas instantanément n’importe qui en pirate : des chercheurs compétents devaient encore choisir la bonne surface d’attaque et reconnaître les erreurs du modèle. Mais l’expérimentation ne coûte presque plus rien. Le délai entre l’existence d’une faille et l’apparition d’un exploit fonctionnel diminue donc des deux côtés. Conséquence gênante : un correctif publié sert aussi de carte vers le bug. Chaque journée sans mise à jour devient plus précieuse pour un attaquant.

Ce que cela signifie pour vous : mettez Zoom à jour dès maintenant vers la version 7.1.5 ou une version ultérieure. C’est la seule action nécessaire et elle prend une minute. Dans une entreprise, l’administrateur peut imposer une version minimale aux invités comme aux salariés. Désactiver les fonctions inutilisées, telles que les annotations, le tableau blanc, le contrôle à distance ou le transfert de fichiers, supprime aussi des catégories entières de risques futurs. Détail contre-intuitif : le chiffrement de bout en bout exposait davantage les anciens clients dans ce cas, car le filtre de Zoom côté serveur ne pouvait pas analyser un trafic illisible. La leçon générale reste peu spectaculaire : installez rapidement les correctifs et abandonnez l’idée que votre discrétion vous protège d’une attaque.

Sources

• ZOOMSDAY, A Security
• Zoomsday : l’IA utilisée pour créer un exploit critique de Zoom en une journée, Decrypt
• De graves vulnérabilités de Zoom permettent à des participants malveillants de prendre le contrôle de votre appareil, Privacy Guides