Une équipe de chercheurs a découvert une faille critique dans Zoom, capable de prendre le contrôle d’un appareil sans le moindre clic de la victime. Ils ont construit un exploit fonctionnel en moins de 24 heures, en confiant l’essentiel du travail à des modèles d’intelligence artificielle. Zoom a corrigé le problème avant la divulgation publique, révélée le 11 août.
L’essentiel
- Trois failles critiques (CVE-2026-53413, -53414, -53415) touchaient la fonction d’annotation de Zoom pendant un partage d’écran
- L’attaque permettait une prise de contrôle à distance sans aucun clic, sur Windows, macOS, iOS et Android
- L’équipe A Security a bâti l’exploit en moins de 24 heures, avec moins de 20 requêtes à des IA grand public
- Zoom a diffusé des correctifs avant la publication des détails, le 11 août 2026
Une faille trouvée et armée par l’intelligence artificielle
Direction Idan Levcovich, chercheur senior chez A Security. Son équipe s’est fixé un défi : voir jusqu’où l’IA pouvait automatiser la recherche de vulnérabilités logicielles.
Le résultat a surpris jusqu’aux chercheurs eux-mêmes. En s’appuyant sur les modèles Claude Opus 4.7 et 4.8 d’Anthropic, couplés à des outils de rétro-ingénierie comme IDA Pro et Frida, l’équipe a identifié une faille dans Zoom puis conçu un exploit complet en une seule journée.
« L’ensemble de l’opération, de la découverte de la faille à la construction d’un exploit fonctionnel, a été mené avec moins de 20 requêtes à des IA accessibles au public », résume Idan Levcovich.
Un travail qui aurait auparavant nécessité des semaines et une équipe expérimentée en sécurité offensive — un point qui interroge sur la manière dont des outils de comparatif IA servent désormais aussi bien à défendre qu’à attaquer un logiciel.
Ce que la faille permettait de faire sur Zoom
Techniquement, le problème se logeait dans la fonction d’annotation utilisée pendant un partage d’écran. Un attaquant pouvait envoyer des messages spécialement conçus pour corrompre la mémoire de l’application chez les autres participants.
Trois mécanismes distincts étaient en cause : un dépassement de mémoire tampon, une lecture hors limites et une utilisation après libération de mémoire. Combinés, ils ouvraient la voie à une exécution de code à distance.
Concrètement, il suffisait qu’un attaquant partage son écran dans une réunion pour compromettre l’appareil d’un autre participant, sans qu’aucune action ne soit requise de sa part. Le scénario touchait indifféremment ordinateurs et smartphones.
Zoom a publié deux bulletins de sécurité, référencés zsb-26015 et zsb-26016, et déployé des correctifs côté serveur et côté client pour les trois failles. Les utilisateurs à jour n’ont rien à faire de particulier, mais l’épisode rappelle l’intérêt de maintenir l’application à sa dernière version.
Un tournant pour la cybersécurité, bien au-delà de Zoom
Ce que retiennent surtout les chercheurs, c’est la vitesse. « Cette recherche souligne le risque d’une IA transformée en arme, et à quel point notre industrie reste vulnérable », alerte Idan Levcovich.
Selon l’équipe, ce type de capacité relevait auparavant du seul domaine des États : des mois de travail, des équipes triées sur le volet, des budgets conséquents. « La barrière qui maintenait ces armes rares s’est effondrée, et elle ne reviendra pas. Les attaquants disposent déjà de cette capacité », préviennent les chercheurs.
L’épisode Zoom illustre un phénomène plus large : la généralisation d’assistants IA capables de rétro-ingénierie assistée redistribue les cartes de la cybersécurité, aussi bien pour les équipes de défense que pour d’éventuels attaquants malveillants. De quoi accélérer, côté éditeurs de logiciels, la course aux correctifs avant divulgation publique.
