Zoomの深刻な脆弱性、未認証の攻撃者がアカウントを遠隔で乗っ取り可能に

Zoomは、Windows版デスクトップソフトウェアに存在する深刻な脆弱性を公表しました。未認証の攻撃者がこの脆弱性を悪用すると、ユーザーアカウントを遠隔で乗っ取ることが可能になります。

Hacking& Cracking

この問題はCVE-2026-53412として追跡されており、公告ZSB-26014で対応が発表されました。原因はZoom Workplace for WindowsおよびZoom Workplace VDI Client for Windowsにおける入力検証の不備にあります。

この脆弱性のCVSSスコアは10点満点中9.8で、深刻なリスクを示しています。ネットワーク経由で到達可能である点、認証を必要としない点、そして機密性・完全性・可用性すべてが完全に侵害されうる点が理由です。

Zoom Workplaceの深刻な脆弱性

この脆弱性のCVSSベクターはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hです。これは、攻撃者がネットワーク経由かつ低い複雑度でこの欠陥を悪用できることを示しています。つまり、既存のZoomアカウントや有効な認証情報、ローカルアクセス、そして標的となるユーザーの操作は一切不要です。

この脆弱性が悪用された場合、アカウント乗っ取りにつながる可能性があります。脅威アクターは被害を受けたユーザーになりすまし、会議や通信内容、共有コンテンツ、アカウントに紐づくリソースにアクセスできてしまうおそれがあります。

Zoomはこの問題を、外部から受け取ったデータの検証やサニタイズが適切に行われていない場合に発生する、入力検証の不備に関する脆弱性だと説明しています。

この公告には悪用の技術的な詳細は記載されていませんが、この種の脆弱性は、特別に細工したネットワーク入力を送信することで、攻撃者がアプリケーションの動作を操作することを可能にする場合があります。

脆弱性のあるコンポーネントは、企業間コミュニケーションやリモート会議、機密ファイルの共有など、企業でよく利用される共同作業環境で動作しているため、アカウントの侵害は組織にとって深刻な二次的リスクを引き起こす可能性があります。

影響を受けるバージョンには、バージョン7.0.7より前のZoom Workplace for Windowsのリリース、そして複数のサポート対象リリースブランチにおけるZoom Workplace VDI Client for Windows(バージョン7.0.107、6.6.156、6.5.186より前のもの)が含まれます。

仮想デスクトップインフラストラクチャを利用している組織は、VDI環境へのパッチ適用を優先すべきです。集中管理された環境では、クライアントが未修正のままだと多数のユーザーが同一の脆弱性にさらされる可能性があるためです。

この脆弱性はZoom Offensive Securityによって報告され、2026年7月14日に最初に公開されました。2026年7月15日には改訂版が発行され、影響を受ける製品のリストからZoom Meeting SDK for Windowsが除外されています。

この訂正は開発チームやセキュリティチームにとって重要な意味を持ちます。今回確認された脆弱性は、Windows Meeting SDKを使って構築されたアプリケーションではなく、Windows版のWorkplaceデスクトップクライアントとVDIクライアントに限定されることが明確になったためです。

管理者は、インストール済みのZoom WorkplaceおよびVDI Clientのバージョンを直ちに棚卸しし、Zoomの公式ダウンロードポータルから最新のアップデートを導入するとともに、エンドポイント管理ポリシーによって影響を受ける旧バージョンの継続利用を防止することが推奨されます。

セキュリティチームはまた、不審なアカウント活動、予期しない会議の変更、見覚えのないログインセッション、異常なファイル共有の挙動など、悪用の兆候となりうる事象を監視すべきです。

 SOCを強化し、脅威検知と迅速な調査を加速させましょう。 -> ANY.RUNをSOCと統合する今すぐ。

NetworkSecurity