Six failles dans Steam, dont une exécution de code à distance sans interaction
Atredis Partners a publié le 28 octobre 2026 des recherches sur six vulnérabilités de Steam sous Windows, dont deux exécutions de code à distance et quatre élévations de privilèges locaux.
Atredis Partners a publié le 28 octobre 2026 des recherches sur six vulnérabilités affectant le client Steam sous Windows, selon gamespark.jp. Les travaux, menés notamment par le chercheur Bryan Alexandre, ont été signalés à Valve via son programme HackerOne ; les détails publiés correspondent à des failles corrigées ou dont le délai de divulgation était échu.
Deux des failles permettent une exécution de code à distance. Elles se situaient dans la communication entre clients Steam connectés au même compte, via les messages de modification du calendrier de téléchargement et les messages d'état d'installation ou de mise à jour d'un jeu. Les chercheurs ont démontré une exécution de code sans interaction, dite « zero-click », qui suppose seulement que l'attaquant contrôle un client authentifié sur le même compte Steam que la cible.
Les quatre autres vulnérabilités sont des élévations de privilèges locaux. L'une d'elles permettait d'exécuter un programme avec les privilèges SYSTEM en abusant du traitement des scripts d'installation de jeux.
Atredis Partners n'a pas précisé de calendrier de correction ni de numéro de version concerné dans les éléments publiés. Valve n'a pas fait de déclaration citée dans ces recherches.
En bref
Quelles sont les failles découvertes dans Steam ?
Atredis Partners a identifié deux exécutions de code à distance et quatre élévations de privilèges locaux dans le client Steam sous Windows.
Les failles ont-elles été corrigées ?
Les détails publiés correspondent à des problèmes corrigés ou dont le délai de divulgation était échu, après signalement à Valve via HackerOne.
Comment l'exécution de code à distance fonctionne-t-elle ?
Elle passe par les messages échangés entre clients Steam d'un même compte, notamment le calendrier de téléchargement et l'état d'installation des jeux ; l'attaquant doit contrôler un client authentifié sur ce compte.