# Faille critique dans Zoom pour Windows : passez en 7.1.8

_Publié le 12 novembre 2026 — https://ip73.fr/2026/11/12/faille-critique-dans-zoom-pour-windows-passez-en-7-1-8/_

Zoom a publié des correctifs pour deux failles touchant Zoom Workplace pour Windows, dont une notée 9,6 sur 10 au barème CVSS. La plus grave, CVE-2026-108186, concerne les versions à partir de la 7.1.0 et antérieures à la 7.1.8.

## Ce qui est touché

Deux vulnérabilités, publiées le 10 novembre dans la base NVD. CVE-2026-108186 est une validation insuffisante des entrées (CWE-20), jugée critique avec un score de 9,6. CVE-2026-108187 est une erreur de validation de l'origine (CWE-346), notée 8,1, donc élevée.

Les plages de versions diffèrent, et c'est là que les parcs risquent de se tromper. D'après The Hacker News et Security Affairs, CVE-2026-108187 touche Zoom Workplace pour Windows avant la 7.1.5. CVE-2026-108186 vise les versions à partir de la 7.1.0 et jusqu'à la 7.1.8 exclue. Un poste en 7.0.x n'entre donc pas dans la plage de la faille critique, mais reste exposé à l'autre.

Selon Security Affairs, l'une des deux failles a été signalée par l'équipe de sécurité interne de Zoom, l'autre par un chercheur identifié sous le nom de « shmoul ».

## Une gravité réelle, mais pas d'exploitation connue

Sur le papier, le profil inquiète : d'après la NVD, chacune de ces failles pourrait permettre à un utilisateur non authentifié d'obtenir une élévation de privilèges par l'accès réseau. Security Affairs et The Hacker News précisent que l'attaquant n'aurait besoin d'aucune autorisation particulière sur la machine visée, ni même d'un compte selon Security Affairs. Les informations publiées ne détaillent toutefois ni le scénario d'attaque, ni ce que l'attaquant obtiendrait concrètement une fois les privilèges élevés.

Côté exploitation, Zoom n'a pas connaissance d'attaques utilisant l'une de ces failles, rapporte Security Affairs ; The Hacker News note de son côté que l'éditeur ne fait état d'aucune exploitation. Pas d'alerte rouge, donc, mais un score de 9,6 sur un outil aussi répandu en entreprise justifie de ne pas laisser traîner.

## Un historique qui s'accumule

Ce n'est pas la première alerte de l'année sur le client Windows. En juillet, Zoom a corrigé CVE-2026-53412 (CVSS 9,8), une validation d'entrées défaillante qui pouvait permettre à un utilisateur non authentifié de prendre le contrôle de comptes. Le bulletin ZSB-26014 de Zoom, publié le 14 juillet et révisé le lendemain, mentionne le client de bureau et le client VDI pour Windows ; la révision du 15 juillet a retiré le Meeting SDK pour Windows de la liste des produits affectés, alors que la fiche NVD le cite encore.

Autre dossier, plus large : « Zoomsday ». La société A Security affirme avoir trouvé, avec des modèles d'IA accessibles au public et moins de 20 prompts, une faille d'exécution de code à distance sans clic (CVE-2026-53413, avec CVE-2026-53414), liée au protocole propriétaire de la fonction d'annotation. Elle l'a signalée à Zoom en juin et affirme que toutes les versions jusqu'à la 7.0.5 incluse sont touchées, sur Windows, macOS, iOS, Android et Linux. Security Affairs situe le correctif en août. A Security ajoute que les clients antérieurs aux versions 7.1.5 et 7.0.6 restent vulnérables lorsque les réglages de chiffrement de bout en bout sont utilisés, et recommande d'installer la dernière version.

Ces deux dossiers ne se confondent pas avec les failles de novembre. Mais ils pointent dans la même direction : un client de visioconférence qui traite en continu des données venues du réseau est une cible de choix.

## Que faire maintenant

Le plus simple : viser la 7.1.8 ou une version plus récente, qui dépasse à la fois les plages de CVE-2026-108186 et de CVE-2026-108187, ainsi que le seuil de 7.1.5 évoqué plus haut. Zoom renvoie vers sa page de téléchargement officielle pour récupérer ses mises à jour.

Pour une équipe IT, cela donne quelques réflexes :

- inventorier les versions de Zoom Workplace installées sur les postes Windows ;
- prioriser les machines à partir de la 7.1.0 et avant la 7.1.8, concernées par la faille critique, puis celles antérieures à la 7.1.5 ;
- pousser la mise à jour par l'outil de déploiement habituel, puis vérifier le numéro de version obtenu plutôt que la simple réussite de la tâche ;
- ne pas oublier le client VDI pour Windows, concerné par la faille de juillet.

Aucun contournement n'est évoqué par les médias qui ont relayé ces failles : la mise à jour reste la seule parade mentionnée.

À surveiller : une éventuelle révision du bulletin de Zoom, ou l'apparition d'un code d'exploitation public, qui changerait l'urgence du chantier.

## Fiche technique

| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-108186 | — | Critique (CVSS 9,6) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-108187 | — | Élevée (CVSS 8,1) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-53412 | — | Critique (CVSS 9,8) | Non signalée | Voir l’avis de l’éditeur |

*Données : [NVD](https://nvd.nist.gov/) (NIST) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).*

## Sources

- [ZOOMSDAY Blog \| A Security](https://a.security/blog/asecurity-zoomsday), a.security
- [Zoom Fixes Critical Windows Vulnerability Allowing Privilege Escalation](https://securityaffairs.com/202911/security/zoom-fixes-critical-windows-vulnerability-allowing-privilege-escalation.html), Security Affairs, 12 novembre 2026
- [Critical Zoom Workplace Flaw Could Allow Unauthenticated Remote Privilege Escalation](https://thehackernews.com/2026/11/critical-zoom-workplace-flaw-could.html), The Hacker News, 11 novembre 2026
- [Avis de sécurité (zoom.com)](https://www.zoom.com/en/trust/security-bulletin/zsb-26014), zoom.com, 10 novembre 2026
- [GHSA-483q-f6v4-3j89](https://github.com/advisories/GHSA-483q-f6v4-3j89) : Improper Input Validation in Zoom Workplace for Windows may allow an unauthenticated user…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-108186](https://nvd.nist.gov/vuln/detail/CVE-2026-108186), NVD (NIST)
- [GHSA-h2pv-6fj4-p932](https://github.com/advisories/GHSA-h2pv-6fj4-p932) : Origin Validation Error in Zoom Workplace for Windows may allow an unauthenticated user…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-108187](https://nvd.nist.gov/vuln/detail/CVE-2026-108187), NVD (NIST)
- [GHSA-xq34-4qgv-ggmc](https://github.com/advisories/GHSA-xq34-4qgv-ggmc) : Improper Input Validation in Zoom Desktop Client for Windows, Zoom VDI Client for…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-53412](https://nvd.nist.gov/vuln/detail/CVE-2026-53412), NVD (NIST)