eSecurity Planet のコンテンツおよび製品に関する推奨事項は、編集上の独立性を保っています。パートナーへのリンクをクリックしていただくことで、当社が収益を得ることがあります。 詳細はこちら
Zoomに存在した重大な脆弱性の連鎖により、攻撃者が同じ会議に参加するだけで他の参加者のデバイスを乗っ取れる可能性があったことが分かりました。
この攻撃は、被害者側でのクリックやダウンロード、その他の操作を一切必要としませんでした。
A Securityの研究者は、この脆弱性連鎖を「ZOOMSDAY」と名付け、公開されているAIモデルを20回未満のプロンプトで使用し、24時間足らずで実際に動作するエクスプロイトを開発したと述べています。
この発見は、広く使われているコラボレーションプラットフォームに存在する脆弱性の深刻さと、攻撃的セキュリティ研究を加速させるAIの役割の高まりの両方を浮き彫りにしています。
「この種の兵器を作り出す際の障壁は崩壊してしまい、もう元には戻らない」と、A Securityの研究者らは今回の情報開示の中で述べています。
ZoomのRCEエクスプロイトチェーンの要点
- ZOOMSDAYはゼロクリックRCEを可能にし、攻撃者がユーザーの操作を一切必要とせずに、他のZoom参加者のデバイスを侵害できる可能性がありました。
- このエクスプロイトは主要なOSに影響し、A SecurityはWindows、macOS、iOS、AndroidのZoomクライアントに対する攻撃を確認しています。
- AIがエクスプロイト開発を加速させ、A Securityは公開されているAIモデルを20回未満のプロンプトで使用し、24時間足らずで実際に動作するエクスプロイトを開発しました。
- 組織は直ちにZoomを更新すべきであり、それに加えて会議アクセス制御やエンドポイント監視などの多層防御策でパッチ適用を補強する必要があります。
ZoomのゼロクリックRCEエクスプロイトチェーンの内部
A Securityの調査により、ZOOMSDAY脆弱性連鎖は主要なOS全般にわたるZoomのネイティブクライアントに影響を及ぼすことが判明しました。
研究者は、Windows、macOS、iOS、Android上のZoom Client v7.0.5に対して、ゼロクリックの遠隔コード実行(RCE)エクスプロイトを確認しています。
ZOOMSDAYエクスプロイトチェーンの仕組み
この脆弱性連鎖の中心にあったのは、Zoomの注釈機能に関連するメモリ破損でした。この機能により、会議参加者は共有コンテンツに描画したり、ハイライトを付けたり、情報を追加したりできます。
A Securityによると、Zoomクライアントはプラットフォーム独自の注釈プロトコルを通じて送信されるデータを自動的に処理していました。
研究者は、特別に作成されたメッセージを使ってこの処理を操作できることを発見しました。これにより受信側クライアントのメモリが破損し、最終的には遠隔コード実行が可能になりました。
ZOOMSDAYで攻撃者が実行できたこと
ZOOMSDAYが特に懸念される点は、悪用に際して被害者が悪意あるリンクをクリックしたり、添付ファイルを開いたり、ファイルをダウンロードしたりする必要が一切なかったことです。
攻撃者はZoomの会議に参加または主催し、他の参加者を標的にすることができました。その際、対象者側での操作は一切必要なく、デバイスが侵害されたことを示す明らかな兆候も表示されませんでした。
Zoomクライアント間の通信は、複数の潜在的な攻撃経路も生み出していました。
A Securityの調査では、悪意ある会議参加者がプレゼンターを標的にできる一方で、侵害されたプレゼンターが他の参加者を標的にできる可能性もあることが分かりました。
攻撃が成功すれば、被害者のデバイス上で悪意あるコードが実行され、機密情報の窃取、追加のマルウェアのインストール、あるいはデバイスのマイクやカメラへのアクセスといった行為につながる恐れがあります。
ZOOMSDAYのエクスプロイトチェーンには、CVE-2026-53413、CVE-2026-53414、CVE-2026-53415として追跡されている3つの脆弱性が関与していました。
CVE-2026-53413
CVE-2026-53413は、ZOOMSDAYチェーンの一部として悪用された、Zoomの注釈機能に関連する脆弱性の一つです。
この欠陥は、会議中に送信される特別に作成された注釈データをZoomクライアントがどのように処理するかを操作する能力に関与していました。
攻撃者にとって、この弱点を悪用することは、標的となるZoomクライアント上で意図しないメモリ動作を引き起こす助けとなり得ました。
チェーン内の他の脆弱性と組み合わせることで、これは研究者が標的参加者の操作を必要とせずに攻撃者が制御するコードを実行する段階へと進む助けとなりました。
CVE-2026-53414
CVE-2026-53414は、Zoomが注釈プロトコル経由で受信した文字データを処理する方法に存在するメモリ過剰読み取りの脆弱性です。
この問題は、受信パケットに示された文字数よりも実際のデータが少ない場合でも、Zoomがそのパケットに指定された文字数に基づいてメモリバッファを割り当ててしまうことが原因で発生します。
割り当てられたバッファの未使用部分は処理前にクリアされないため、被害者のデバイスのメモリに既に格納されている情報が漏えいする可能性があります。
A Securityは、漏えいするメモリには、読み込まれたソフトウェアライブラリのライブコードや仮想関数テーブル(vtable)ポインタなど、機密性の高い技術情報が含まれる可能性があることを確認しています。
攻撃者はこれらの漏えいしたメモリアドレスを利用して、コードがメモリ上のどこに配置されているかを特定でき、メモリベースの攻撃を困難にするために設計されたセキュリティ保護機能であるアドレス空間配置のランダム化(ASLR)の回避に役立てることができました。
この脆弱性単体ではデバイスの完全な乗っ取りには至りませんが、漏えいしたメモリ情報によって、他のメモリ破損系の脆弱性の悪用が容易になる可能性があります。
ZOOMSDAYチェーンにおいて、CVE-2026-53414は攻撃者がメモリ保護機能を回避し、標的となるZoomクライアント上で確実なRCEを実現する段階に近づくために利用できる情報を提供していました。
CVE-2026-53415
CVE-2026-53415は、Zoomの注釈エンジンで発見された別の脆弱性で、攻撃者に遠隔コード実行への別の経路を提供する可能性がありました。
この欠陥は、自動図形のメタデータに使用される注釈メッセージをZoomがどのように処理するかに影響します。
A Securityによると、Zoomのパーサーは、指定されたポインタを検証することなく、攻撃者が制御するデータを内部のリンクリスト構造体に直接読み込むことができてしまいます。
これにより、研究者が「write-what-where(どこに何を書き込むか)」条件と呼ぶ状況が生まれ、攻撃者はメモリに書き込まれるデータと、それが書き込まれる場所の両方を制御できる可能性がありました。
この機能は、影響を受けたデバイス上で攻撃者が制御するコードを実行する経路を提供し得るため、危険なものとなり得ます。
Zoomは、脆弱なクライアントに悪意あるメッセージが到達する前にそれをフィルタリングするよう設計されたサーバー側の緩和策を既に展開していました。
しかし、その保護策はエンドツーエンド暗号化(E2EE)された会議には適用できませんでした。これは、Zoomのサーバーが暗号化された会議コンテンツを検査できないためです。
その結果、E2EE会議中は、特別に作成されたメッセージが依然として脆弱なクライアントに到達する可能性がありました。
Zoomはこれらの脆弱性に対する修正を既にリリースしています。
Zoomの脆弱性を緩和する方法
脆弱なZoomクライアントを更新することを最優先にすべきですが、組織はリスクを低減し、侵害が発生した場合の被害範囲を抑えるために、多層防御の対策も講じるべきです。
これには、会議レベルの権限設定の厳格化、エンドポイント保護の強化、そして侵害されたアカウントやアプリケーションに与える権限の制限が含まれます。
- 正確なソフトウェアインベントリとSBOMを維持し、影響を受けるソフトウェアを特定した上で、Zoom Workplaceなど業務上重要なアプリケーションを速やかに更新し、脆弱なバージョンを修正すること。
- 機密性の高い会議への参加を認証済みまたは承認済みの参加者に限定し、アクセスを制御するために待機室機能を使用すること。
- 注釈や画面共有など、参加者に付与する機能を必要のない場合は信頼できるユーザーのみに制限すること。
- EDR(エンドポイント検知・対応)ツールを使用し、Zoomのエンドポイント上で不審なプロセス、持続化、または異常なデバイス動作を監視すること。
- 最小権限の原則とアプリケーション制御ポリシーを適用し、エンドポイントが侵害された場合に攻撃者がアクセス・実行できる範囲を制限すること。
- インシデント対応計画をテストし、エンドポイント侵害を想定したシナリオで攻撃シミュレーションツールを活用すること。
これらの対策を組み合わせることで、攻撃対象領域全体を縮小し、耐性を高めることができます。
結論
セキュリティチームにとって、ZOOMSDAYは脅威の状況におけるより大きな変化を浮き彫りにしています。
AIは、脆弱性を特定し実用的なエクスプロイトを開発するのに必要な時間とリソースを削減しています。
セキュリティ責任者は、この攻撃タイムラインの短縮化を踏まえ、継続的なエクスポージャー管理、より迅速な修正対応、そしてセキュリティ管理策の定期的な検証を優先すべきです。
