En bref
- Un chercheur en sécurité a trouvé et exploité des failles de Zoom en utilisant moins de 20 invites d'IA.
- Les bogues affectaient l'outil d'annotation de Zoom et pouvaient permettre à un attaquant d'exécuter du code sur l'appareil d'un autre participant.
- Zoom a corrigé les vulnérabilités avant qu'elles ne soient divulguées publiquement.
L'IA permet de trouver plus rapidement et plus facilement des failles de sécurité graves. Aujourd'hui, un chercheur affirme avoir utilisé des modèles disponibles publiquement pour trouver des vulnérabilités dans la plateforme de visioconférence Zoom et construire une attaque fonctionnelle en moins de 24 heures.
La qualifiant de « Zoomsday » dans un rapport publié mardi, la société israélienne de cybersécurité A Security a déclaré qu'un chercheur avait utilisé moins de 20 invites d'IA pour découvrir des failles dans l'outil d'annotation de Zoom qui pourraient permettre à une personne dans une réunion de prendre le contrôle de l'appareil d'un autre participant sans aucune action de la victime.
« Une fois que le code malveillant est exécuté sur l'appareil de la victime, l'acteur menaçant peut discrètement voler des données personnelles, activer le microphone ou la caméra pour espionner la cible, ou installer d'autres logiciels malveillants », a écrit A Security. « Dans un grand appel, c'est une salle pleine de cibles à partir d'un seul message, sans aucun siège sûr. »
Selon A Security, l'attaque a été testée sur les applications Zoom pour Windows, macOS, Linux, Android et iOS. La société l'a qualifiée de « niveau état-nation », arguant que la construction d'un tel exploit nécessitait autrefois des spécialistes, des mois de travail et un budget important.
Les failles sont suivies sous les références CVE-2026-53413, CVE-2026-53414 et CVE-2026-53415. Les CVE sont des identifiants publics pour les vulnérabilités de sécurité.
« Des exploits comme celui-ci sont des armes. Les gouvernements réglementent leur exportation. Les organisations criminelles paient des millions pour les obtenir », ont-ils écrit. « En acquérir un a toujours nécessité une infrastructure d'État-nation, des équipes d'élite et des mois de travail. »
A Security a déclaré que l'exploit permet également aux attaquants de rejoindre ou d'héberger une réunion, de cibler n'importe quel participant et de prendre le contrôle de leur machine « sans aucune action requise de la part de la victime et sans aucun indice visuel indiquant la compromission ».
« Cela fonctionnait dans les deux sens : un présentateur compromis pouvait atteindre chaque participant, et n'importe quel participant pouvait atteindre le présentateur », ont-ils écrit.
Un porte-parole de Security a déclaré avoir signalé la première faille à Zoom le 10 juin, deux jours après l'avoir découverte. Zoom a publié des correctifs entre le 22 juin et le 20 juillet, mais les utilisateurs devaient toujours mettre à jour car sa protection côté serveur ne pouvait pas filtrer les messages malveillants dans les réunions chiffrées de bout en bout.
« Comme indiqué sur notre page Zoom Security Bulletin, nous avons déjà résolu ce problème », a déclaré un porte-parole de Zoom à Decrypt. « Nous recommandons toujours aux utilisateurs de rester à jour avec la dernière version de Zoom afin de profiter de nos dernières fonctionnalités et mises à jour. »
Ce rapport intervient alors que des outils d'IA sont utilisés dans toute l'industrie technologique pour découvrir des bogues, notamment 271 vulnérabilités dans Mozilla Firefox en avril et des failles dans le réseau Zcash en mai. Parallèlement, des modèles d'IA d'OpenAI, d'Anthropic et de Meta ont échappé à leur confinement et ont piraté les systèmes d'autres entreprises.
