Zoomsday : comment l'IA a découvert une faille critique zero-click dans Zoom en moins de 24 heures

En août 2026, Zoom a corrigé une vulnérabilité de sécurité critique qui aurait permis à un participant à une réunion de prendre silencieusement le contrôle de l'appareil de tous les autres participants — sans aucun clic, sans avertissement et sans aucune indication visible. La faille, surnommée « Zoomsday » par les chercheurs qui l'ont découverte, a été identifiée et transformée en exploit fonctionnel en utilisant uniquement des modèles d'IA publics en moins de 24 heures et avec moins de 20 requêtes (prompts). Cette divulgation a provoqué une onde de choc dans l'industrie de la cybersécurité, soulevant des questions urgentes sur la manière dont les organisations peuvent se défendre contre une découverte de vulnérabilités accélérée par l'IA, qui dépasse déjà les cycles de correctifs des entreprises.

Qu'était la vulnérabilité Zoomsday (CVE-2026-53413) ?

CVE-2026-53413 est une vulnérabilité critique zero-click d'exécution de code à distance (RCE) dans la fonction d'annotation de Zoom — l'outil qui permet aux participants d'une réunion de dessiner, surligner ou taper sur un écran partagé.

Cause racine : Une absence de vérification des limites dans la fonction d'annotation des clients Zoom permet une écriture hors limites (buffer over-write). Plus précisément, Zoom allouait quatre tampons fixes de 128 octets pour la désérialisation des annotations textuelles, mais ne validait pas correctement la longueur des entrées, permettant un dépassement de capacité.

Vecteur d'attaque : Un attaquant déjà présent dans une réunion (lors d'un partage d'écran actif avec l'annotation activée) pouvait exécuter silencieusement du code sur l'appareil d'un autre participant — sans aucun clic requis de la part de la victime.

Niveau de sévérité : CVSS 9.0 (Critique) selon CVSS v4.0, et CVSS 9.8 selon v3.x. Le bulletin de sécurité de Zoom l'a classé comme « Élevé ».

Autres CVE regroupées dans le même correctif : CVE-2026-53414 (élévation de privilèges) et CVE-2026-53415 (une deuxième RCE zero-click dans le moteur d'annotation).

Comment Zoomsday a-t-elle été découverte par l'IA en moins de 24 heures ?

Les chercheurs d'A Security, une entreprise de sécurité offensive autonome, ont utilisé des modèles d'IA de pointe accessibles publiquement pour découvrir et exploiter la faille.

• Temps avant exploitation : Moins de 24 heures.
• Nombre de requêtes : Moins de 20 requêtes sur des modèles d'IA publics.
• Processus : L'IA a analysé la logique de désérialisation des annotations de Zoom, identifié l'absence de vérification des limites et généré une chaîne d'exploitation fonctionnelle — le tout sans qu'un humait n'ait à rétro-concevoir manuellement le binaire. Idan Levcovich, chercheur principal en vulnérabilités chez A Security, a déclaré à SC Media que l'équipe a spécifiquement travaillé avec les modèles Claude Opus 4.7 et Opus 4.8 d'Anthropic.
• Chronologie de la découverte : Les vulnérabilités ont été découvertes le 8 juin 2026, un exploit fonctionnel contre Zoom 7.0.5 étant confirmé le lendemain. Les conclusions ont été signalées en privé à Zoom le 10 juin.

Quelles plateformes et versions étaient concernées ?

La vulnérabilité affectait tous les clients Zoom natifs sur toutes les principales plateformes.

Plateforme	Versions affectées	Versions corrigées
Windows	Avant 7.1.5 et 7.0.6	7.1.5 / 7.0.6
macOS	Avant 7.1.5 et 7.0.6	7.1.5 / 7.0.6
iOS	Avant 7.1.5 et 7.0.6	7.1.5 / 7.0.6
Android	Avant 7.1.5 et 7.0.6	7.1.5 / 7.0.6
Linux	Avant 7.1.5 et 7.0.6	7.1.5 / 7.0.6

Les salles Zoom (Zoom Rooms) pour Windows étaient également concernées avant des mises à jour spécifiques. Zoom est utilisé par environ 70 % du classement Fortune 100, ce qui donne à la faille un impact potentiel très large.

Quand a-t-elle été corrigée ?

Zoom a publié le bulletin de sécurité (ZSB-26015) et déployé les correctifs le 11 août 2026. Les correctifs pour les clients avaient en réalité été livrés en juin et juillet, environ deux mois avant que les failles ne soient rendues publiques. Aucune exploitation n'a été signalée à ce jour.

La vulnérabilité existait dans toutes les versions jusqu'à la version 7.0.5 incluse. Les versions corrigées sont les clients Zoom 7.1.5 et 7.0.6 pour toutes les plateformes. Zoom Rooms et le SDK Zoom Meeting nécessitent la version 7.1.0 ou ultérieure.

Implications plus larges : la découverte accélérée par l'IA dépasse la gestion des correctifs

La divulgation de Zoomsday a suscité une vive inquiétude dans l'industrie de la sécurité. Les chercheurs l'ont décrite comme un « coup de semonce » — si les modèles d'IA de pointe peuvent trouver et exploiter des failles critiques de manière bienveillante, les acteurs malveillants peuvent le faire à la même vitesse.

Asymétrie de vitesse : Une IA peut trouver et exploiter une RCE critique zero-click en moins de 24 heures avec moins de 20 requêtes, mais le cycle de correction d'un éditeur — même rapide — prend des jours, voire des semaines, pour développer, tester et déployer les mises à jour sur toutes les plateformes.

Démocratisation de l'exploitation avancée : Par le passé, un tel travail aurait pu prendre des mois et coûter des millions à un État-nation. L'IA le rend accessible à toute personne ayant accès à un modèle de pointe.

Amplification zero-click : Comme l'exploit ne nécessite aucune interaction de l'utilisateur, il contourne la plupart des défenses au niveau de l'utilisateur et fait peser toute la charge sur la gestion des correctifs et les contrôles au niveau du réseau.

Compression de la fenêtre de correction : L'écart entre la découverte d'une vulnérabilité (par des chercheurs ou des attaquants) et la disponibilité d'un correctif se réduit à presque zéro. Les organisations qui ne peuvent pas mettre à jour Zoom en quelques heures — comme les environnements isolés (air-gapped), les industries réglementées ou les grandes entreprises avec des comités de contrôle des changements — sont de plus en plus exposées.

Préoccupation pour la chaîne d'approvisionnement : La vulnérabilité se trouvait dans le protocole d'annotation propriétaire de Zoom, présent sur chaque client. Un attaquant assisté par l'IA aurait pu compromettre silencieusement chaque participant d'une seule réunion — transformant les outils de collaboration en vecteurs de déploiement de masse.

Zoomsday est une démonstration frappante que l'IA a fondamentalement changé la vitesse de découverte des vulnérabilités. L'industrie de la sécurité doit désormais faire face à une nouvelle réalité : les attaquants ont déjà adopté l'IA, et le cycle de correction, lui, ne l'a pas encore fait.