Zoom、ゼロクリックでコード実行が可能な脆弱性にパッチを適用

Zoomは火曜日、同社製品に存在する4件の脆弱性に対するパッチの展開を発表しました。その中には、ゼロクリックでのリモートコード実行(RCE)を許してしまう深刻な欠陥も含まれています。

Zoomのクライアントは対応するすべてのプラットフォームで影響を受け、うち3件のセキュリティ上の欠陥は、独自プロトコルを使用する注釈(annotator)機能内で発見されました。

3件のバグの中で最も深刻なのは、CVE-2026-53413で、会議参加者が他の参加者のマシン上でコードを実行できてしまうメモリ破損の問題です。このバグを発見したA Securityは、これを「Zoomsday」と名付けています(A Securityのブログ記事を参照)。

同セキュリティ企業は、「Zoomクライアントは受信したものをすべて自動的に解析する」という性質を悪用し、特別に細工したメッセージを送信することで受信側クライアントのメモリを破損させ、そのクライアント上でコードを実行することに成功しました。

攻撃者は、注釈機能が使用する独自プロトコルが視聴者と共有者の間に直接のチャネルを開くという特性を利用し、会議の各参加者を個別に標的にすることができます。

A Securityは次のように説明しています。「この攻撃手法を使えば、攻撃者は会議に参加するか、あるいは自ら会議を主催するかして、任意の参加者を標的に選び、被害者側で何の操作も必要とせず、また侵害を示す視覚的な兆候も一切ないまま、そのマシンを乗っ取ることができます」

テキスト注釈機能における境界チェックの欠落により、攻撃者は細工したメッセージを送信することで、攻撃者が指定したコードを本来意図されたバッファの範囲を超えて書き込ませ、RCEにつなげることが可能でした。

さらにA Securityは、注釈機能内に存在するもう一つの境界チェック欠落であるCVE-2026-53414も発見しました。これを悪用すると、バッファオーバーリードを引き起こし、任意の会議参加者をサービス拒否(DoS)攻撃の標的にすることができます。

同社はまた、注釈機能における解放済みメモリ使用(use-after-free)の欠陥であるCVE-2026-53415も特定したとしていますが、報告後に、Zoom側がすでにこの欠陥を発見済みであったことが判明したとしています。

A Securityは次のように述べています。「ゼロクリックRCEはユーザー操作を一切必要としないため、私たちは、クライアント側のパッチとサーバー側の緩和策の両方を顧客が確実に受け取れるだけの時間を確保することを優先しました。今回の公開は、その協調的なタイムラインに沿ったものであり、CVE番号の割り当てと同時に公開しています」

火曜日、Zoomは、Workplaceのバージョン7.1.5および7.0.6、Roomsのバージョン7.1.5、そして対応するすべてのプラットフォーム向けMeeting SDKのバージョン7.1.5に、この3件の脆弱性すべてに対する修正が含まれていると発表しました。

Zoomはまた、Windows向けWorkplace VDI Clientのバージョン7.0.11および6.6.16、そしてすべてのプラットフォーム向けWorkplace VDI Pluginsのバージョン7.0.11および6.6.15も展開しました。これらには、情報漏えいにつながるパストラバーサルの欠陥であるCVE-2026-53416に対するパッチが含まれています。

解決済みの脆弱性に関する詳細情報は、Zoomのセキュリティ情報ページで確認できます。