Zoom脆弱性4件、会議参加者からRCEの恐れ

【更新 2026-08-15】本記事を見直し、修正しました。主な修正点：①ZSB-26015〜26017が2026年8月14日にリビジョン1.1へ改訂され、対象製品にZoom Video SDKが追加・Zoom Workplaceの版数が訂正されたため、対象製品と修正版の表を更新。②修正版そのものの公開日（7.1.0＝2026年6月22日、7.1.5＝同7月20日）を訂正。③発見者が公表した「利用者の操作なしで成立する（ゼロクリック）」との説明がZoomのCVSS評価（UI:R）と食い違うため、該当箇所に要確認の注記を追加。

Zoomは2026年8月11日、クライアント製品の脆弱性4件（CVE-2026-53413〜53416）を公表しました。うち2件はCVSS 8.3の高深刻度で、会議に参加している人物が、同じ会議の別の参加者の端末で任意のコードを実行できる恐れがあります。悪用の報告は執筆時点でありません。

影響を受けるのは、日常的に使うZoomアプリ（Zoom Workplace）だけではありません。会議室に据え付けたZoom Rooms、仮想デスクトップ用のVDIクライアントとプラグイン、そして他社アプリに組み込まれるZoom Meeting SDK／Video SDKも対象です。これらは「Zoomを更新した」という日常の作業では更新されないことが多く、そこが今回の実務上の要点になります。

この記事でわかること

  • 公表された4件の脆弱性の内容と深刻度（一次情報のセキュリティ速報ベース）
  • 「会議参加者が攻撃者になる」という前提が、自社の会議運用の何を問うているか
  • Zoom公式の速報間で修正版の記載が食い違っている箇所（読み違えると更新が足りなくなる）
  • 更新が届きにくい3つの経路（Zoom Rooms／VDIプラグイン／組み込みSDK）と、その確認方法
  • 四半期ごとの最低バージョン強制に頼れない理由

そもそも対象製品は何をするものか

「うちはZoomアプリを配っているだけ」と考える前に、今回の対象製品の位置づけを整理します。

  • Zoom Workplace：一般利用者がPC・スマートフォンに入れる会議アプリ本体です。
  • Zoom Rooms：会議室に常設する専用端末（PC＋ディスプレイ＋カメラ）で動くアプリです。総務や情シスが設置し、利用者は触らないため更新の当事者が不在になりがちです。
  • Zoom Workplace VDIクライアント／VDIプラグイン：仮想デスクトップ環境で映像・音声処理を手元の端末側に肩代わりさせる仕組みです。Zoom公式ドキュメントは「VDIクライアントは仮想デスクトップ上に、VDIプラグインはVDIへ接続する側の端末（シンクライアントや手元のPC）に導入する」と明記しています。つまりプラグインは仮想デスクトップのマスターイメージの外側にいるため、イメージを更新しても直りません。
  • Zoom Meeting SDK：開発者が自社のアプリやWebサイトの中にZoomの会議画面を埋め込むための部品です（Zoom公式の開発者ドキュメント）。オンライン相談・遠隔サポート・社内向け業務アプリなどに組み込まれている場合、利用者はZoomアプリを起動していないので、「Zoomは最新です」と答えても該当していることがあります。自社開発・外注アプリの構成部品まで遡って確認が必要です。
  • Zoom Video SDK：会議アプリではなく映像・音声の機能そのものを自社アプリに組み込むための開発者向け部品です。2026年8月14日の速報改訂（リビジョン1.1）で対象製品に追加されました。

何が起きたのか：4件の内訳

4件はいずれも2026年8月11日公開です。このうちZSB-26015・26016・26017は2026年8月14日にリビジョン1.1へ改訂され、対象製品にZoom Video SDKが追加されました（ZSB-26015／26016ではあわせてZoom Workplaceの版数も訂正されています）。ZSB-26018は初版（1.0）のままです。CVSSはZoom自身が採番機関（CNA）として付与した値です。

速報 CVE 深刻度／CVSS 3.1 内容 報告
ZSB-26015 CVE-2026-53413 High／8.3 注釈（annotator）機能の境界チェック不足によるバッファ上書き。会議参加者が他の参加者の端末でリモートコード実行の恐れ Idan Levcovich氏（A Security）
ZSB-26016 CVE-2026-53414 Medium／6.5 同じく注釈機能のバッファ過剰読み取り。他の参加者にサービス妨害（DoS）の恐れ 同上
ZSB-26017 CVE-2026-53415 High／8.3 注釈機能の解放済みメモリ使用（Use After Free）。他の参加者の端末でリモートコード実行の恐れ Zoom Offensive Security（自社チーム）
ZSB-26018 CVE-2026-53416 High／7.1 VDIクライアントおよびプラグインのパストラバーサル。認証済み利用者がローカルアクセスで情報を窃取する恐れ CK Tan氏（JPMorgan Chase XORチーム）

4件のうち3件が「注釈（annotator）機能」に集中しています。画面共有中に線や文字を書き込む、あの機能です。会議中に相手から送られてくるデータをその場で描画処理する箇所であり、外部入力を受ける面が広いことがうかがえます。深刻度の読み方はCVSSとは？脆弱性の深刻度を評価する仕組みと使い方もあわせてご覧ください。

攻撃者は「外部の誰か」ではなく「会議に入れた人」

RCE 2件のCVSSベクタは AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H です。実務的に効く点は3つあります。

  • PR:N（権限不要）：Zoomアカウントの権限は要りません。必要なのは「その会議にいること」だけです。
  • S:C（スコープ変更）：影響が脆弱なコンポーネントの外側に及ぶ、という評価です。会議アプリの中で完結せず、端末そのものの問題になり得ることを示します。
  • AC:H（攻撃条件が高い）／UI:R（利用者の操作が必要）：狙って成立させるにはハードルがあり、無差別のばらまきには向きません 【要確認 2026-08-15：発見者のA Securityは公表資料「ZOOMSDAY」（2026年8月11日）で「被害者側の操作は不要（ゼロクリック）」と説明し、macOS上で被害者の操作なしにSafariを起動させる実証を示しています。ZoomのCVSS評価（UI:R）と食い違っており、どちらが実態かは本記事では確認できていません。攻撃条件の重さを前提に優先度を下げる判断は避けてください】。裏を返すと、標的を決めて会議に入り込む攻撃には向いています。

ここで問われるのは、パッチ管理より前に「誰が自社の会議に入れるのか」という運用です。取引先・候補者・不特定多数を招く説明会・ウェビナー、URLがメールや社内チャットで転送されていく会議──いずれも「参加者＝信頼できる人」という前提が崩れている場面です。会議IDとパスコードの扱い、待機室の運用、外部参加者の入室承認といった設定が、今回は端末侵害の距離を決める要素になります。

修正版：公式速報の間で記載が食い違っている

ここが今回いちばん取り違えやすい部分です。同じ注釈機能の3件でありながら、Zoom Workplace・Zoom Rooms・Meeting SDK／Video SDK の修正版が速報ごとに異なります。

製品 ZSB-26015／26016 ZSB-26017 ZSB-26018 実務上とるべき版
Zoom Workplace（全対応プラットフォーム） 7.1.0／7.0.6 未満が対象 7.1.5／7.0.6 未満が対象 ― 7.1.5（または7.0系は7.0.6）
Zoom Workplace VDIクライアント（Windows） 7.0.11／6.6.16 未満が対象 同左 7.0.11／6.6.15 未満が対象 7.0.11（または6.6系は6.6.16）
Zoom Rooms（全対応プラットフォーム） 7.1.0 未満が対象 7.1.5 未満が対象 ― 7.1.5
Zoom Meeting SDK（全対応プラットフォーム） 7.1.0 未満が対象 7.1.5 未満が対象 ― 7.1.5
Zoom Video SDK（全対応プラットフォーム）
※2026-08-14の改訂で追加		 2.6.0 未満が対象 2.6.5 未満が対象 ― 2.6.5
Zoom Workplace VDIプラグイン（全対応プラットフォーム） ― ― 7.0.11／6.6.15 未満が対象 7.0.11（または6.6系は6.6.15以上）

ZSB-26015／26016だけを読んでZoom Rooms（やZoom Workplace）を7.1.0に上げると、ZSB-26017（Use After Free・CVSS 8.3）の対象のまま残ります。同様にVDIクライアントの6.6系は、ZSB-26018だけを見て6.6.15で止めると他の3件が残ります。複数の速報が同じ製品に触れているときは、最も高い版に揃えるのが安全側の判断です。なお修正版の番号は各速報の「Affected Products」欄に記載された値であり、更新前にZoom公式の該当ページで最新の記載を確認してください（速報は改訂されることがあります）。

更新が届かない3つの経路

Zoom Workplaceは自動更新が働きやすい一方、次の3つは別ルートの管理になります。ここを外すと「全社更新済み」という報告が実態とずれます。

1. 会議室のZoom Rooms端末

利用者が触らないため更新の当事者がいません。管理は原則としてZoom側の管理画面（デバイス管理）からになります。会議室の台数と設置場所を持っている部署が情シスと別（総務・ファシリティ）というケースも多く、棚卸しの対象から抜けやすい資産です。

2. VDIプラグイン（シンクライアント／手元PC側）

前述のとおりプラグインはVDIの中ではなく接続元の端末に入ります。仮想デスクトップのマスターイメージを更新しても対象外です。Windows環境の既定の導入先はZoom公式ドキュメントに記載があり、たとえばCitrix向けは C:\Program Files\ZoomCitrixHDXMediaPlugin、VMware（Omnissa）向けは C:\Program Files\ZoomVMwareMediaPlugin、VDIクライアント本体は C:\Program Files\ZoomVDI\bin です。資産管理ツールの「インストール済みソフト一覧」で拾えない場合は、このパスの有無とファイルのバージョンで該当判定ができます。シンクライアント自体の管理は、専用の管理基盤側でも確認が必要です（関連：Dell WMS脆弱性、CVSS9.8で遠隔コード実行の恐れ）。

3. 他社アプリに組み込まれたMeeting SDK

もっとも見えにくい経路です。SDKを組み込んだアプリの更新はそのアプリの開発元（自社の開発部門または外注先）にしか実施できません。自社サービスにオンライン面談・オンライン相談の機能があるなら、開発担当に「Zoom Meeting SDKのバージョンはいくつか」「7.1.5に上げる予定はいつか」を確認してください。利用者側の端末をいくら更新しても、この経路は塞がりません。

「最低バージョン強制」に任せると最大で数か月空く

Zoomには古いクライアントを締め出す仕組みがあります。公式の「Zoom Software Quarterly Lifecycle Policy」によれば、最低バージョンの設定は2月・5月・8月・11月の第1週末に行われ、これを下回るアプリの利用者はサインアウトされます。また、あるバージョンは最低バージョンを下回るまで少なくとも9か月はサポートするよう努めるとされています（緊急のセキュリティ更新は別途行われ得る、とも記載されています）。

今回の修正版そのものが公開されたのは7.1.0が2026年6月22日、7.1.5が同7月20日で、8月11日はZoomが脆弱性を公表した日です。8月の設定タイミング（第1週末＝8月1〜2日）は既に過ぎており、そもそも最低バージョンの設定は四半期ごとの日程で行われるため、個別の修正版の公開とは連動しません。つまり「Zoomが弾いてくれるから、そのうち上がる」と考えると、次の節目（11月）まで待つことになりかねません。サインアウトされないことは、脆弱性が無いことの証明にはなりません。自動更新の有効化と、必要なら管理者側での更新強制（Zoom公式の「Requiring users to update Zoom」「Enterprise Auto Update policies」参照）で能動的に寄せるほうが確実です。

公的データベース側の状況：スコアも参照リンクも当てにしない

執筆時点（2026年8月14日）で、4件はいずれもNVDの状態が Received で、NVDによる一次評価は付いていません。表示されるCVSSはZoom（CNA）が付けた二次評価のみです。CISAのSSVC評価は exploitation: none（悪用は確認されていない）と記録されています。

もうひとつ、実害の出やすい点があります。NVDに登録されたCVE-2026-53416の参照リンクが ZSB-26017 を指していますが、この脆弱性の速報は ZSB-26018 です（ZSB-26017は別のCVE-2026-53415）。NVDのリンクをたどると、対象製品も修正版も違う速報に着地します。VDIプラグインが対象範囲から抜け落ちる読み違いにつながるため、Zoomの速報番号は本文の内容とCVE番号を突き合わせて確認してください。

なお、修正版の番号は速報ごとに異なりますが、対象製品ごとに最も高い版へ1回上げれば4件ともまとめて塞げます。スコア閾値で1件ずつ優先度を議論するより、そのほうが早く終わります。

現場目線の所感

Web会議アプリの脆弱性は、正直なところ後回しにされやすいと感じます。サーバやVPN装置と違って「外から狙われる」実感が薄く、利用者の手元で勝手に更新されている印象があるからです。しかし今回のように会議の参加者が起点になるとなると、話は変わります。招待リンクを転送する文化、社外の方を気軽に招く打ち合わせ、採用面接や説明会──普段は歓迎すべき運用が、そのまま攻撃者の入口の広さになります。

そして厄介なのは、更新の抜けが会議室の端末・シンクライアント・自社アプリの中という、いずれも「日常的に人の目が届かない場所」に溜まることです。全社の端末には配れても、会議室に何台Zoom Rooms端末があるかを即答できる情シスは多くないはずです。限られた人員で全部を掌握するのは現実的でないので、今回のような機会に「Zoomという名前が付く資産の一覧」を一度作ってしまうのが結局は近道だと思います。次に同じ告知が来たときの調査時間が、確実に短くなります。

情シスとして何をすべきか

  1. Zoom Workplaceを7.1.5（7.0系は7.0.6）以上へ。自動更新の設定状況と、実際の配布率を管理画面で確認します。
  2. Zoom Rooms・Meeting SDKは7.1.5以上、Zoom Video SDKは2.6.5以上へ（速報間の食い違いは高いほうに合わせる）。Meeting SDK・Video SDKは開発部門・委託先への確認が必要です。
  3. VDIクライアントは7.0.11／6.6.16以上、VDIプラグインは接続元端末側で更新。前掲のインストールパスで該当有無を確認します。
  4. 会議の入室設定を見直す。待機室、パスコード、外部参加者の扱い、招待リンクの共有範囲。今回はここが攻撃者と端末の距離になります。
  5. 利用者への周知。Zoomは回避策を案内していないため、当面の防御は更新です。「更新を促す通知が出たら後回しにしない」という地道な啓発が効きます。IPAの対策のしおりは社内配布用の素材として使いやすく、日々の更新の重要性を平易に説明しています。中小規模の組織で運用ルールから整えたい場合は中小企業の情報セキュリティ対策ガイドラインが出発点になります。

なお、Zoomの管理画面では注釈機能そのものを無効化する設定がありますが、Zoomはこれを本脆弱性の回避策としては案内していません。無効化が有効な緩和になるかは確認できていないため、更新の代替とは考えないでください。

まとめ

  • Zoomクライアントに4件の脆弱性（CVE-2026-53413〜53416）。うち2件はCVSS 8.3で、会議の参加者が他の参加者の端末で任意コードを実行できる恐れがある。悪用は執筆時点で未確認。
  • 対象はZoom Workplaceに限らず、Zoom Rooms・VDIクライアント／プラグイン・Meeting SDK・Video SDKまで及ぶ。いずれも通常のアプリ更新では塞がらない経路を持つ。
  • 公式速報の間で修正版の記載が食い違う（Workplace／Rooms／SDKは7.1.0と7.1.5）。高いほうに揃え、NVDの参照リンクは速報番号と内容を突き合わせて確認する。

出典

関連記事：Zoom脆弱性CVE-2026-53412、認証不要の乗っ取りに対処を／Microsoft月例パッチ751件、実質420件の見極め方

タイトルとURLをコピーしました