研究者らは、人気のミーティングプラットフォームZoomに3件の脆弱性を発見しました。悪意のあるコラボレーションデータを介して、ミーティング参加者の一人が別の参加者を攻撃できてしまう可能性があるというものです。
これらの脆弱性はCVE-2026-53413、CVE-2026-53414、CVE-2026-53415として追跡されており、Zoomがミーティング中に共有される注釈データを処理する際に使うコードに影響します。研究者らはこの一連の脆弱性を「Zoomsday」と名付けました。
影響を受けるアプリケーションは以下の通りです。
- Zoom Workplace（対応する全プラットフォーム）: リリースブランチによってバージョン7.1.5または7.0.6より前のもの
- Zoom Workplace VDI Client for Windows: リリースブランチによってバージョン7.0.11または6.6.16より前のもの
- Zoom Rooms（対応する全プラットフォーム）: バージョン7.1.5より前のもの
- Zoom Meeting SDK（対応する全プラットフォーム）: バージョン7.1.5より前のもの
何が起こり得るか
つまり、同じZoomミーティングに参加している何者かが、Zoomアプリが本来処理を想定していないデータを送信できるということです。単に描画やテキストボックス、その他の注釈を表示するだけのはずが、脆弱なクライアントはクラッシュさせられたり、情報を漏えいさせられたり、さらには攻撃者が制御するコードを実行させられたりする可能性があります。
注釈機能は一見シンプルに思えますが、その裏側の処理は単純ではありません。Zoomクライアントは他の参加者から構造化データを受信し、それを画面上に表示できるオブジェクトへと変換します。今回の調査によると、注釈パーサーには複数のメモリ安全性に関するバグが存在していました。第三者から提供されたデータを処理するあらゆるソフトウェアと同様に、長さやカウント、参照を利用する前に慎重に検証を行う必要があります。
注目すべきは、研究者らが付けた深刻度評価と、Zoom自身の評価との間に食い違いが見られる点です。研究者らはこれらを「Critical（緊急)」と評価した一方、Zoomは「High（重要)」と評価しています。
この違いは、脆弱性がCommon Vulnerability Scoring System（CVSSスコア）の下でどう採点されるかに起因しているようです。Zoomは、悪用の成功にはユーザーの操作が必要になると見なしています。
実際には、攻撃者はまず標的と同じミーティングに参加する必要があります。これには、公開されているミーティングへの参加、漏えいしたミーティングリンクの悪用、参加予定者になりすます、あるいは既にアクセス権を持つアカウントを侵害するといった方法が考えられます。Zoomは、攻撃者が標的のマシンを侵害する意図を持ってミーティングへの参加を説得した場合、それをユーザーの操作と見なしています。
安全を保つ方法
Zoomは、どのプログラムをアップデートする必要があるか、また修正版の入手先を説明するセキュリティ情報を公開しています。
Zoomsdayから身を守り、安全にミーティングを行うためには、以下の対策を講じてください。
- できるだけ早くZoomを最新バージョンにアップデートすること。
- Zoomミーティングへの参加者を制限すること。機密性の高い通話では、パスコードや待機室、認証済みユーザーへの制限、固有のミーティングリンクを利用してください。
- 注釈、ホワイトボード、リモート操作、ファイル転送、サードパーティ製アプリといった機能が不要であれば、無効化を検討すること。特にオープンな招待形式のミーティングでは重要です。
- ミーティングが1回クラッシュしたからといって、それが攻撃の証拠とは限りません。ただし、頻繁に発生するようであれば調査する価値があります。
- デバイス上で悪意のあるコードをブロックするため、最新のリアルタイムアンチマルウェアソリューションを使用すること。
- 組織は、導入済みのすべてのZoomクライアントがアップデートを確実に受信できるよう、デバイス管理ツールも確認する必要があります。
脅威を報じるだけでなく、取り除くために。
サイバーセキュリティのリスクは、見出しの中だけにとどまるべきではありません。今すぐMalwarebytesをダウンロードして、デバイスを脅威から守りましょう。
