Prendre le contrôle d’un compte Zoom sans même connaître son mot de passe : c’est le scénario que l’éditeur veut voir disparaître au plus vite. Zoom a publié une alerte de sécurité concernant une faille critique dans son client desktop Windows et le SDK associé. Un attaquant non authentifié pourrait exploiter le trou pour réaliser un account takeover, autrement dit une prise de contrôle de compte, sans disposer du moindre identifiant valide.
La vulnérabilité, classée critique, vise Zoom Workplace pour Windows ainsi que le software development kit Windows utilisé par des applications tierces. La consigne est sans détour : vérifier les versions installées et appliquer les correctifs disponibles.
Points clés
- Une faille critique de Zoom permet une prise de contrôle de compte sans authentification préalable.
- Elle vise le client desktop Windows et le SDK Windows utilisé par des applications tierces.
- Zoom recommande de vérifier les versions installées et d’appliquer les correctifs sans attendre.
- L’écosystème Windows de Zoom cumule plusieurs avis de sécurité ces derniers mois.
Ce que Zoom a confirmé
L’éditeur précise qu’une partie non authentifiée peut exploiter la faille pour détourner des comptes. La surface d’attaque se limite aux composants Windows et n’englobe pas l’ensemble des produits Zoom. Le risque devient immédiat pour tout environnement reposant sur des postes Windows laissés sans mise à jour, à commencer par les parcs d’entreprise.
L’absence d’authentification préalable change tout. Là où une faille classique suppose déjà un pied dans la porte, celle-ci s’invite directement sur le paillasson. Une prise de contrôle de compte peut ensuite ouvrir l’accès à des réunions, à des carnets de contacts ou à des fonctions administratives selon les droits de la victime.
Pourquoi le correctif ne peut pas attendre
Dans un environnement exposé, ce genre de vulnérabilité grimpe tout en haut de la pile des priorités, surtout si le client Zoom tourne sur des postes gérés, des machines de support ou des systèmes reliés à des comptes professionnels. Le réflexe reste le classique du genre : mettre à jour les clients Windows, contrôler les déploiements du SDK et suivre les avis de l’éditeur pour identifier les versions corrigées.
Zoom n’a pas indiqué publiquement si la faille avait déjà été exploitée dans la nature. En l’absence d’information contraire, mieux vaut jouer la prudence plutôt que d’attendre la mauvaise surprise.
Zoom sous pression sur ses correctifs Windows
Les bases de vulnérabilités publiques recensent plusieurs avis Windows liés à Zoom ces derniers mois, avec des correctifs couvrant des élévations de privilèges, des divulgations d’informations ou des chemins de recherche non fiables. L’écosystème Windows de la plateforme reste clairement un point de vigilance.
Pour les équipes informatiques, la marche à suivre tient en quatre gestes : inventorier les installations, mettre à jour les clients desktop, vérifier les applications qui embarquent le SDK Zoom, puis confirmer que les versions déployées correspondent bien aux correctifs annoncés.
