🔍 Contexte
Source : BleepingComputer — publié le 15 juillet 2026. Zoom a émis un avis de sécurité concernant plusieurs vulnérabilités affectant ses produits Windows, dont une de sévérité critique découverte en interne.
🚨 Vulnérabilité critique : CVE-2026-53412
- Type : Improper Input Validation
- Score CVSS : 9.8/10
- Impact : prise de contrôle de compte (account takeover) par un utilisateur non authentifié via accès réseau
- Produits affectés :
- Zoom Workplace for Windows avant la version 7.0.0
- Zoom VDI Client for Windows avant les versions 7.0.10, 6.6.15 et 6.5.18
- Zoom Meeting SDK for Windows avant la version 7.0.0
Aucun détail technique n’a été fourni par Zoom dans son bulletin. Aucune exploitation active n’est signalée au moment de la divulgation.
⚠️ Vulnérabilités de sévérité haute associées
- CVE-2026-53410 : Race condition TOCTOU (time-of-check to time-of-use) — élévation de privilèges lors de l’installation/désinstallation pour un utilisateur local authentifié. Affecte Zoom Workplace for Windows < 7.0.5, VDI Client/Plugin < 6.5.17/6.6.14, Zoom Rooms for Windows < 7.0.5, Remote Control for Zoom Contact Center < 7.0.0.
- CVE-2026-53409 : Improper Privilege Management — élévation de privilèges locale. Affecte Zoom Rooms for Windows < 7.1.0.
- CVE-2026-53411 : Improper Input Validation — élévation de privilèges locale. Affecte Zoom Workplace VDI Plugin for Windows < 6.6.14.
📋 Type d’article
Avis de sécurité / patch de sécurité. But principal : informer les utilisateurs et équipes de sécurité de l’existence de vulnérabilités critiques et hautes dans les produits Zoom pour Windows, et les inciter à appliquer les mises à jour disponibles.
🧠 TTPs et IOCs détectés
TTP
- T1190 — Exploit Public-Facing Application (Initial Access)
- T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
IOC
- CVEs :
CVE-2026-53412— NVD · CIRCL - CVEs :
CVE-2026-53410— NVD · CIRCL - CVEs :
CVE-2026-53409— NVD · CIRCL - CVEs :
CVE-2026-53411— NVD · CIRCL
🟡 Indice de vérification factuelle : 48/100 (moyenne)
- ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
- ✅ 2698 chars — texte partiel (10pts)
- ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
- ⬜ pas d’IOC vérifié (0pts)
- ✅ 2 TTP(s) MITRE (8pts)
- ⬜ date RSS ou approximée (0pts)
- ⬜ aucun acteur de menace nommé (0pts)
- ⬜ 0/4 CVE(s) confirmée(s) (0pts)
🔗 Source originale : https://www.bleepingcomputer.com/news/security/zoom-warns-of-critical-account-takeover-vulnerability/