Zoom corrige deux failles de Workplace pour Windows, dont une notée 9,6

Zoom a publié le 10 novembre 2026 deux bulletins de sécurité pour Zoom Workplace sur Windows : une faille notée 9,6, corrigée à partir de la version 7.1.8, et une faille notée 8,1, corrigée à partir de la version 7.1.5.

Les deux fiches disent la même chose sur le profil de l’attaquant : un utilisateur non authentifié peut obtenir une élévation de privilèges par le réseau. Les deux vecteurs CVSS portent la mention UI:R, c’est-à-dire qu’une interaction de la personne devant l’écran est nécessaire. Ce n’est pas un scénario où le seul fait d’avoir le logiciel installé suffirait, d’après la note que Zoom publie. Zoom ne dit pas que ces failles ont été exploitées.

La faille notée 9,6, à partir de la 7.1.0

Le bulletin ZSB-26023, CVE-2026-108186, est classé critique, score 9,6. Le vecteur est CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Zoom décrit une validation insuffisante des entrées. Le périmètre est Zoom Workplace pour Windows à partir de la version 7.1.0 et avant la version 7.1.8. La portée « changed » signifie que l’effet peut dépasser le composant vulnérable. Confidentialité, intégrité et disponibilité sont notées hautes. La source indiquée est l’équipe offensive interne de Zoom. La révision 1.0 est datée du 10 novembre 2026.

Une installation en 7.1.0, 7.1.1 et les suivantes jusqu’à 7.1.7 comprise est donc dans le périmètre de cette fiche. Le seuil à atteindre est 7.1.8, ou toute version plus récente proposée au téléchargement.

La faille notée 8,1, avant la 7.1.5

Le bulletin ZSB-26024, CVE-2026-108187, est classé haut, score 8,1. Le vecteur est CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N. Zoom parle d’une erreur de validation d’origine. Les versions concernées sont celles antérieures à 7.1.5. La disponibilité n’est pas notée comme touchée, et la portée reste inchangée. La fiche crédite un rapporteur nommé shmoul. Même date de publication, le 10 novembre 2026.

Une machine déjà en 7.1.5 ou au-delà n’est pas dans le périmètre de ce second bulletin. Elle peut encore l’être pour le premier, tant qu’elle n’a pas atteint 7.1.8. Les deux correctifs se prennent au même endroit : la page de téléchargement zoom.us/download, ou le mécanisme de mise à jour de l’application.

Ce que la note ne dit pas

Les bulletins ne donnent pas le détail du geste qui déclenche la faille, ni une liste de fenêtres ou de liens. Ils ne citent pas d’attaque en cours. Ils ne parlent pas des clients macOS, Linux, iOS ou Android : le titre des deux fiches est Workplace pour Windows.

Pour un poste Windows, le contrôle tient en un numéro. En dessous de 7.1.5, les deux fiches s’appliquent. Entre 7.1.5 et 7.1.7, seule la faille notée 9,6 reste ouverte, selon le périmètre écrit par Zoom. À partir de 7.1.8, les deux bulletins sont couverts. Les entreprises qui bloquent les mises à jour automatiques doivent pousser ce build : le bulletin ne décrit pas d’autre mesure.

Sources

ZSB-26023, Zoom, CVE-2026-108186, 10 novembre 2026.

ZSB-26024, Zoom, CVE-2026-108187, 10 novembre 2026.