La célèbre plateforme de visioconférence a pu être compromise au moyen de simples requêtes adressées à un modèle d’IA, notamment en exploitant l’un de ses propres outils.
Zoom a déployé, le 11 août 2026, un correctif pour Windows, macOS, Linux, Android et iOS. Loin d’être une simple mise à jour de plus, celle-ci touche à un point critique de cette plateforme de prédilection des dirigeants et autres cadres d’entreprise depuis la période du Covid : son intégrité.
Des chercheurs de la société de cybersécurité A Security ont en effet révélé avoir décelé une faille sur la plateforme. Celle-ci pouvait permettre à un attaquant de lancer une action malveillante au cours d’une visioconférence, aussi bien depuis un ordinateur que depuis un smartphone.
Baptisée « Zoomsday » pour souligner son caractère potentiellement dévastateur, la vulnérabilité était susceptible de transformer une simple réunion en porte d’entrée vers l’appareil d’un participant.
L’attaquant pouvait ainsi, d’après The Verge, voler des fichiers ou des données, activer le micro ou la caméra, installer un logiciel espion ou tout autre programme malveillant, voire contrôler certaines fonctions de l’appareil ciblé. L’opération ne nécessitait aucune action de la victime et ne produisait aucun signe visible de compromission.
Une fonction d’annotation détournée
Cette vulnérabilité ne reposait ni sur un faux lien ni sur un téléchargement piégé, mais sur une fonction ordinaire de la plateforme : l’annotation. Cet outil permet aux participants d’une réunion de dessiner, d’écrire et d’ajouter des éléments graphiques sur un écran partagé ou un tableau blanc, afin de rendre les réunions virtuelles plus interactives et collaboratives.
Selon A Security, les chercheurs ont exploité le fait que chaque client Zoom analyse automatiquement les données reçues via le protocole propriétaire d’annotation. L’envoi d’un message spécialement conçu pouvait ainsi corrompre la mémoire du client ciblé et y exécuter du code à distance, sans action ni indice visible pour la victime.
Pour parvenir à ce résultat, les auteurs disent avoir eu recours, en amont, à un agent d’IA reposant sur des modèles peu coûteux. En utilisant moins de 20 requêtes, ou prompts, celui-ci a réussi à mettre à l’épreuve l’outil d’annotation.
Une faille logicielle particulièrement critique
Le plus préoccupant, à en croire les experts, tient à la nature même de cette vulnérabilité. Contrairement à une attaque reposant sur l’erreur humaine, elle relevait d’une faille logicielle : un participant malveillant pouvait exploiter le protocole d’annotation afin de prendre le contrôle d’appareils présents dans une même réunion.
Les parades habituelles — vigilance face aux e-mails de phishing, protection antivirus ou authentification à plusieurs facteurs — n’auraient donc pas suffi à empêcher directement cette attaque.
« Dans un appel avec de nombreux participants, c’est toute une salle de cibles atteinte à partir d’un seul message, sans aucune place à l’abri », alertent les chercheurs. Ils rappellent que Zoom est utilisé par 70% des entreprises du Fortune 100, le classement des 100 plus grandes sociétés américaines par chiffre d’affaires annuel.