Défaillance de sécurité des Zoom Rooms : des failles sous Windows et macOS exposent les réseaux d’entreprise

C’est le scénario cauchemardesque pour les entreprises modernes : la plateforme de communication même en laquelle on a confiance pour organiser des réunions de direction, des discussions confidentielles et des sessions stratégiques sensibles devient soudainement le maillon faible de votre chaîne de sécurité. Cette semaine, Zoom Rooms pour Windows et macOS s’est retrouvé sous les projecteurs de la cybersécurité, alors que des chercheurs ont découvert des vulnérabilités critiques permettant à des attaquants de prendre le contrôle des terminaux et de repartir avec des secrets d’entreprise. La course est lancée pour les organisations afin de corriger leurs systèmes - avant que les cybercriminels ne les devancent.

Au cœur des vulnérabilités : qu’est-ce qui a mal tourné ?

Les vulnérabilités, révélées le 9 décembre 2025, touchent au cœur de Zoom Rooms - la solution de salle de réunion spécialisée utilisée par les entreprises du monde entier. La première, CVE-2025-67460, cible les déploiements Windows. Elle exploite une faiblesse critique dans le mécanisme de protection contre la rétrogradation du logiciel. En termes simples, un attaquant ayant un accès local peut ramener Zoom Rooms à une version plus ancienne et non corrigée, ressuscitant ainsi d’anciens bugs et contournant les correctifs de sécurité. Cela ouvre la voie à une élévation de privilèges, où un utilisateur malveillant pourrait obtenir des droits administrateur et exécuter du code malveillant à sa guise.

La seconde vulnérabilité, CVE-2025-67461, affecte les systèmes macOS. Ici, le problème réside dans la manière dont Zoom Rooms gère les noms et chemins de fichiers externes. Si un attaquant local possède des identifiants valides, il pourrait manipuler les opérations sur les fichiers, exposant potentiellement des données sensibles de l’entreprise, voire préparant le terrain pour d’autres attaques. Bien que cette faille soit jugée moins grave, elle représente tout de même un risque important - surtout dans les environnements où la menace interne est une préoccupation.

Quelle est l’ampleur du risque ?

Les deux vulnérabilités nécessitent un accès local, ce qui signifie que les attaquants ne peuvent pas les exploiter à distance via Internet. Cependant, cela est peu rassurant pour les organisations dont la sécurité des terminaux est laxiste ou les défenses internes poreuses. Des ordinateurs portables compromis, des personnes malveillantes en interne, ou même des appareils partagés mal sécurisés dans les salles de réunion pourraient tous servir de points d’entrée.

Les experts en sécurité avertissent que les attaquants enchaînent fréquemment les failles d’élévation de privilèges locales avec d’autres vulnérabilités pour se déplacer latéralement dans un réseau. Dans le pire des cas, une brèche dans une seule Zoom Room pourrait servir de tremplin à une compromission beaucoup plus large - incluant vol de données, ransomware ou espionnage.

Correctifs et prévention

Zoom a réagi en publiant la version 6.6.0 pour Windows et macOS, fermant ainsi la porte à ces vulnérabilités. Les recommandations de l’entreprise sont sans équivoque : mettez à jour maintenant et vérifiez que tous les déploiements utilisent la dernière version du logiciel. Les équipes de sécurité sont également invitées à auditer les politiques d’accès aux terminaux, surveiller toute activité suspecte et s’assurer que des contrôles robustes sont en place autour des appareils partagés.