L’IA arme une faille zero-click Zoom en moins de 24 heures
Le 11 août 2026, Zoom corrige CVE-2026-53413, une faille zero-click que l’éditeur A Security a découverte et armée en moins de 24 heures avec moins de 20 prompts d’IA publiques. La barrière qui réservait le développement d’exploits aux États-nations vient de tomber, et elle ne reviendra pas.
11 août 2026. Zoom publie quatre correctifs de sécurité, dont CVE-2026-53413, une faille zero-click dans la fonction d’annotation. Le 12 août 2026, le cabinet offensif A Security révèle le détail qui change tout : l’exploit a été construit en moins de 24 heures, avec moins de 20 prompts adressés à des modèles d’IA publiquement disponibles. Le lendemain, OpenAI restreint son modèle offensif GPT‑5.6‑Cyber à un cercle de partenaires agréés.
Trois dates, une même conclusion : le délai entre la découverte d’une faille et son armement vient de s’effondrer. Ce n’est plus une question de compétence, c’est une question de minutes de calcul.
La faille : rejoindre la réunion suffit
La vulnérabilité porte le surnom « Zoomsday », choisi par A Security. Elle réside dans CAnnoFormatBlock::Deserialize, la fonction qui traite les données de mise en forme échangées entre celui qui partage son écran et ceux qui regardent. Cette fonction fait confiance aux valeurs de longueur envoyées par les participants distants, sans vérifier qu’elles tiennent dans ses tampons fixes de 128 octets.
Un objet d’annotation surdimensionné déborde le tampon, corrompt la mémoire adjacente et donne à l’attaquant le contrôle de l’exécution. La condition d’entrée est minimale : rejoindre la réunion. Pas d’ingénierie sociale, pas de lien malveillant, aucune interaction de la victime. A Security a fait la démonstration sur macOS en lançant silencieusement Safari sur la machine cible en pleine réunion.
Trois autres CVE accompagnent la chaîne : CVE-2026-53414 (débordement de lecture, déni de service), CVE-2026-53415 (use‑after‑free) et CVE-2026-53416 (traversée de chemin dans le client VDI). Le même code vulnérable se compile à l’identique sur Windows, macOS, iOS, Android et Linux.
Zoom a classé la faille en sévérité haute, avec un CVSS de 8,3 — le vecteur réseau et l’absence d’interaction utilisateur expliquent ce niveau. L’annotation est activée par défaut dans la plupart des déploiements : c’est elle qui permet de dessiner sur un écran partagé. La désactiver neutralise la chaîne, mais peu d’organisations l’ont fait, car cette fonction est rarement perçue comme une surface d’attaque.
Le vrai titre, c’est la méthode
La faille est grave. La manière dont elle a été trouvée l’est davantage.
Le chercheur d’A Security a pointé un agent IA vers le composant d’annotation de Zoom — en pariant, à juste titre, que les fonctions obscures des protocoles propriétaires sont des cibles sous‑auditées. L’IA a ensuite raisonné seule sur la structure du protocole, généré plusieurs vecteurs d’attaque et itéré sur ses échecs sans intervention humaine à chaque étape. Résultat : un exploit armé et fonctionnel. Temps écoulé : moins de 24 heures. Prompts utilisés : moins de 20.
C’est un travail qui exigeait traditionnellement une infrastructure de niveau étatique : une équipe d’élite de cinq personnes, six mois d’effort et des ressources chiffrées en millions. Le constat d’A Security est sans ambiguïté : « la barrière qui gardait ces armes rares s’est effondrée, et elle ne reviendra pas ».
Une nuance importante, que l’éditeur assume : l’IA n’a pas découvert la faille de façon autonome. Le scan automatisé avait classé la fonction vulnérable en 45ᵉ position — c’est un humain qui a pointé l’IA vers la bonne cible. Ce que l’IA a éliminé, c’est la phase de mois de travail d’exploitation manuelle qui suit la découverte. La distinction compte pour mesurer la menace : elle n’adoucit pas la conclusion.
Ce que ça change pour la défense
La statistique qui accompagne « Zoomsday » est la plus inquiétante du lot : 28,3 % des CVE sont désormais exploitées dans les 24 heures suivant leur publication. L’IA accélère l’exploitation, et la fenêtre entre le correctif et l’attaque se referme mécaniquement.
A Security a joué le jeu de la divulgation responsable : le cabinet a attendu que Zoom déploie un correctif côté client et une atténuation côté serveur avant de publier. Ce n’est pas un luxe que toutes les équipes s’offriront.
Côté industrie, la réponse commence à se dessiner — et elle est partielle. OpenAI a restreint son modèle offensif le plus avancé, GPT‑5.6‑Cyber, à des partenaires agréés la veille de la divulgation : les versions bridées répondent à 1,5 % des prompts offensifs avancés, contre 95 % pour la version réservée. Le contrôle d’accès aux modèles est un ralentisseur, pas une solution — les modèles publics ont suffi à « Zoomsday ».
Le marché de la recherche offensive est en train de se recomposer. Jusqu’ici, la rareté des exploits tenait à deux goulots : trouver la faille, puis la transformer en arme fiable. L’IA n’a pas supprimé le premier — un humain a orienté la recherche — mais elle a pratiquement supprimé le second. Conséquence : le coût marginal d’un exploit passe de mois de salaires à quelques heures de calcul, et cette démocratisation change la nature du risque. Ce n’est plus seulement l’acteur étatique qui frappe : c’est le chercheur isolé, le groupe criminel agile, le pentester qui accélère ses livrables.
Pour les éditeurs, la pression s’inverse. Une fonction obscure de leur client n’est plus un refuge : c’est précisément là que l’IA excelle. L’audit interne devra cibler en priorité les parseurs de protocoles propriétaires, les désérialiseurs et les tampons à taille fixe — exactement le profil de CAnnoFormatBlock::Deserialize. Et le cycle de correctif devra s’accélérer : quand l’exploitation suit la publication en 24 heures, un patch qui traîne est déjà trop tard.
Ce que vous devez faire
Les correctifs sont sortis. C’est désormais un problème de déploiement :
# Vérifier la version du client Zoom (Linux)
zoom --version 2>/dev/null || dpkg -l zoom 2>/dev/null | tail -1Les versions corrigées, selon les bulletins ZSB-26015 à ZSB-26018 :
- Zoom Workplace : 7.1.5 ou 7.0.6 selon la plateforme ;
- Zoom Rooms : 7.1.5 ;
- Meeting SDK : 7.1.5 — critique si vous embarquez Zoom dans votre application ;
- Client VDI : 7.0.11 ou 6.6.16 ; plugin VDI : 7.0.11 ou 6.6.15.
Pour les administrateurs qui organisent des réunions avec des participants externes : désactivez l’annotation dans les paramètres du compte si vous ne l’utilisez pas. La même logique s’applique au transfert de fichiers, au contrôle à distance et aux applications tierces : une surface d’attaque non utilisée est une surface à ne pas défendre.
Verdict
« Zoomsday » est un signal d’alarme, pas une exception. Le développement d’exploits pour des plateformes commerciales majeures ne relève plus du monopole des États-nations — il tient dans une journée de travail et moins de 20 prompts.
Si vous administrez Zoom, la mise à jour vers les versions corrigées n’est pas une option : c’est la priorité du jour, en commençant par les SDK embarqués, qui ne se mettent jamais à jour tout seuls et qui traînent dans vos dépendances.
Si vous évaluez un risque de sécurité, changez d’hypothèse par défaut : un composant « difficile à exploiter » ne l’est plus nécessairement. La complexité d’une fonction obscure est précisément ce que l’IA neutralise le plus vite.
Si vous définissez une politique IA, retenez que la restriction des modèles les plus capables ralentit la menace sans la supprimer. La vraie défense reste celle d’avant : réduire la surface, patcher vite et surveiller — mais avec une horloge qui tourne désormais vingt‑quatre fois plus vite.