Zoom corrige deux failles d’élévation de privilèges réseau exploitables sans authentification sur Windows

11 novembre 2026. Zoom publie deux correctifs de sécurité pour Zoom Workplace sous Windows. CVSS 9.6. C’est le score de la plus sévère des deux, CVE-2026-108186, une faille de validation d’entrée qui permet à un utilisateur non authentifié d’élever ses privilèges via le réseau. Troisième fois depuis juillet. C’est la troisième fois en quatre mois que la même classe de défauts — la validation d’entrée sur le client Windows — ouvre une élévation de privilèges ou une prise de compte. Pourquoi c’est important : les deux failles se déclenchent sans authentification et sans interaction de l’utilisateur, sur une application installée par défaut sur des millions de postes d’entreprise.

Deux failles, un même vecteur réseau

Les deux vulnérabilités partagent le même point d’entrée — l’accès réseau — et la même conséquence — une élévation de privilèges — mais diffèrent par leur mécanisme.

CVE-2026-108186, notée 9.6, est une validation d’entrée insuffisante. Elle affecte les versions de Zoom Workplace pour Windows comprises entre 7.1.0 et avant 7.1.8. Un attaquant qui peut joindre le poste sur le réseau exploite la faille pour s’élever, sans avoir besoin d’un compte ni d’un quelconque droit préalable.

CVE-2026-108187, notée 8.1, est une validation d’origine défaillante. Elle affecte les versions antérieures à 7.1.5. Là encore, l’élévation de privilèges s’obtient par le réseau, sans authentification.

Les deux bulletins — ZSB-26023 pour la première, ZSB-26024 pour la seconde — précisent que l’exploitation réussie permet à un attaquant distant d’élever ses privilèges « sans exiger d’autorisation ni d’accès particulier ». Traduit en termes opérationnels : un poste Windows qui exécute un client Zoom vulnérable offre une primitive d’élévation à quiconque peut l’atteindre sur le réseau.

Une récidive qui n’est plus un accident

Ce qui fait sortir ce lot de la routine, c’est la répétition. En juillet 2026, Zoom corrigeait déjà CVE-2026-53412, une faille de validation d’entrée notée CVSS 9.8 qui permettait à un utilisateur non authentifié de prendre le contrôle de comptes. En août 2026, une faille zero-click — surnommée « Zoomsday » — fermait un chemin d’exécution de code à distance, que nous avons analysée à l’époque.

Le schéma est le même à chaque fois : une application de visioconférence, souvent exécutée avec des privilèges élevés pour gérer la capture audio et vidéo, traite des données arrivant du réseau avec une validation insuffisante. Chaque correctif ferme une occurrence précise, mais la surface — un client riche, en C++, qui écoute le réseau et manipule des flux média — reste la même. Un RSSI doit donc lire ce lot comme un signal de récurrence structurelle, pas comme un incident isolé.

Pourquoi l’élévation de privilèges « sans authentification » est un vrai risque

Une élévation de privilèges sur un poste de travail est souvent traitée comme un problème de second rang, derrière l’exécution de code. C’est une erreur. En pratique, la chaîne d’attaque moderne combine presque toujours une compromission initiale faible et une élévation locale.

Le scénario type tient en deux temps. D’abord, l’attaquant obtient un premier accès à bas privilèges — un hameçonnage, un compte de service exposé, un poste déjà compromis dans le réseau. Ensuite, il utilise une primitive d’élévation comme CVE-2026-108186 pour passer de ce compte limité à SYSTEM ou à un compte administrateur, et c’est à ce moment-là qu’il déploie le rançongiciel, exfiltre les données ou se déplace latéralement.

Le fait que l’exploitation soit sans authentification aggrave le cas : il n’y a pas de barrière à franchir avant la tentative. Si le service Zoom est joignable — et sur un LAN d’entreprise, il l’est souvent — la faille est attaquable. La seule atténuation fiable est le correctif, pas la configuration réseau.

Ce qu’il faut faire, en trois vérifications

Le correctif de tête est Zoom Workplace 7.1.8 pour Windows, qui couvre les deux CVE à la fois — 7.1.8 étant supérieur aux seuils de 7.1.5 (CVE-2026-108187) et de la plage 7.1.x (CVE-2026-108186). La vérification tient en une commande, à lancer sur chaque poste.

# Version installée du client Zoom Workplace (Windows)
(Get-Item "$env:APPDATA\Zoom\bin\Zoom.exe").VersionInfo.FileVersion

Si la version est inférieure à 7.1.8, le poste est exposé. Pour un parc géré, trois réflexes suffisent :

• Forcer la mise à jour via la console de gestion — Zoom met à jour ses clients automatiquement, mais la politique de l’entreprise peut la retarder. Vérifiez que l’auto-update n’est pas bloquée.
• Inventorier les postes hors gestion — les machines en télétravail ou les BYOD qui exécutent un client Zoom personnel échappent souvent à l’inventaire.
• Traiter l’élévation comme un maillon de la chaîne — la correction de cette faille ne protège que si le reste du parc est à jour. Un poste à jour en Zoom mais avec un client VPN vulnérable reste une porte ouverte.

Zoom précise n’avoir aucune preuve d’exploitation en conditions réelles au moment de la publication. C’est une bonne nouvelle, mais elle est fragile : les failles d’élévation de privilèges réseau sur un logiciel aussi répandu attirent les exploitants dès que le diff du correctif devient lisible.

Verdict

Si vous exécutez Zoom Workplace pour Windows, mettez à jour vers 7.1.8 avant la fin de la semaine, et forcez la mise à jour sur l’ensemble du parc plutôt que de compter sur l’auto-update. La faille CVE-2026-108186 transforme une simple connexion réseau en élévation de privilèges sans authentification : c’est précisément le maillon que les attaquants cherchent entre la compromission initiale et l’exécution à hauts privilèges. Si votre parc n’utilise pas Zoom, le risque est nul ici — mais notez le signal : un éditeur qui corrige trois failles de la même classe en quatre mois mérite une revue de votre surface de visioconférence tout entière, quel que soit le fournisseur.

Références

• The Hacker News — « Critical Zoom Workplace Flaw Could Allow Unauthenticated Remote Privilege Escalation » (Ravie Lakshmanan, 11 novembre 2026)
• Zoom Security Bulletin ZSB-26023 — CVE-2026-108186
• Zoom Security Bulletin ZSB-26024 — CVE-2026-108187
• ETTAYEB — notre analyse de la faille zero-click « Zoomsday » (août 2026)