Zoom CVE-2026-53412 : une prise de contrôle de compte critique dans le client desktop Windows

> En bref : CVE-2026-53412 est une faille critique d'improper input validation (CVSS 9.8) dans Zoom Workplace pour Windows, le Zoom VDI Client pour Windows et le Zoom Meeting SDK pour Windows. Un attaquant non authentifié peut réaliser une prise de contrôle de compte par accès réseau. Correctif : Zoom Workplace 7.0.0, VDI Client 7.0.10 / 6.6.15 / 6.5.18, Meeting SDK 7.0.0.

Pourquoi un éditeur SaaS doit s'y intéresser

Zoom Workplace n'est plus seulement de la visio — c'est un client de collaboration complet (chat, VoIP, calendrier, whiteboard, documents, IA) déployé sur des millions de postes, dont le laptop de chaque salarié chez vos clients et chez vous. Une faille de prise de contrôle sur un client connecté en permanence, sur toutes les machines, c'est exactement le genre de risque supply-side qui traverse les frontières d'éditeur.

Si votre support utilise Zoom pour les appels clients, si vos commerciaux partagent leur écran avec des prospects, ou si votre produit embarque le Zoom Meeting SDK pour des entretiens vidéo (un pattern classique dans les ATS / logiciels de recrutement), cette CVE atterrit dans votre modèle de menace même si ce n'est pas votre code.

Ce qu'on sait (et ce qu'on ne sait pas)

Zoom a découvert la faille en interne et l'a divulguée sans détail technique. L'advisory la décrit simplement comme une « improper input validation » permettant « à un utilisateur non authentifié de réaliser une prise de contrôle de compte par accès réseau ». Pas de proof-of-concept, pas de chaîne d'exploit, pas d'indication d'exploitation active à la divulgation.

C'est maigre — mais le vecteur CVSS 9.8 donne la forme : joignable par le réseau, complexité faible, aucun privilège, aucune interaction utilisateur. L'interprétation réaliste : une requête ou un message forgé vers un client vulnérable peut donner à l'attaquant le contrôle de la session connectée de la victime. Tant que les chercheurs n'ont pas publié de détails, traitez tout client Zoom non patché sur Windows comme un vecteur crédible de takeover.

Ce qu'il faut faire

La leçon plus large

Les failles client-side de prise de contrôle de compte dans les outils de collaboration omniprésents sont devenues un évènement régulier — Slack, Teams, Zoom et leurs SDK ont tous eu leur tour. La défense n'est pas d'arrêter de les utiliser, c'est de traiter le client de collaboration comme faisant partie de votre surface d'attaque : managé, patché, et version-piné dans votre produit quand vous embarquez le SDK.