Zoomの証明書検証に脆弱性、攻撃者に機密情報を取得される恐れ

Zoomは、My Notes機能に存在する重要度「高」の脆弱性を公表しました。この問題は複数のZoom Workplaceクライアントに影響します。CVE-2026-108185として追跡されており、ネットワークにアクセスできる未認証の攻撃者が機密情報を取得できる可能性があります。

脆弱性スキャンサービス

Zoomは2026年10月13日、セキュリティ速報ZSB-26022を公開しました。速報では、Windows、macOS、Linux、Android、iOSにまたがる脆弱なリリースを特定し、更新版ソフトウェアのインストールを推奨しています。

Zoomの証明書検証に関する脆弱性

この脆弱性のCVSS v3.1スコアは7.4で、評価ベクターはCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:Nです。これは、ネットワーク経由で攻撃が可能であり、攻撃条件の複雑さは高いものの、必要な権限やユーザーの操作は不要であることを示しています。

評価では、機密性と完全性への影響が大きい一方、可用性への影響はないとされています。Zoomの説明は、悪用された場合の結果として情報漏えいを挙げており、完全性を狙った攻撃シナリオについては詳しく述べていません。

問題の核心は、My Notes機能における証明書検証の不備です。Zoomの全通信チャネルに影響する一般的な弱点ではありません。

この脆弱性はセキュリティチェックに関わるものですが、Zoomは、どの証明書チェックが失敗するのか、どの接続が影響を受けるのか、攻撃者がどのようなネットワーク条件を整える必要があるのかを明らかにしていません。

勧告はこの機能を通じた情報露出への懸念を示す一方で、攻撃者がすべての会議を自動的に傍受したり、アカウントの認証情報を窃取したり、デバイス全体を侵害したりできるとは述べていません。

Windowsでは、影響を受けるZoom Workplaceはバージョン7.1.5から始まり、各ブランチにおける7.2.0および7.1.9より前のすべてのバージョンが対象です。

macOSとLinuxでも、影響を受けるリリースはバージョン7.0.5から始まり、同様にブランチごとの修正版より前のバージョンが含まれます。

この違いは重要です。勧告はデスクトップ版をひとつのリリース系列にまとめず、修正の境界を個別に示しているためです。管理者は、影響範囲を評価する際、導入済みの各クライアントを該当するリリースブランチに照らして確認する必要があります。

モバイルについては、Zoomは、Android版とiOS版のWorkplaceのうち、バージョン7.0.5以降7.2.0未満が影響を受けると明記しています。

両モバイルクライアントとも、修正版の境界はバージョン7.2.0とされています。公表された対象範囲は5つのOSすべてに及ぶため、組織はデスクトップ端末と合わせて、これらのモバイル環境も影響評価の対象に含めるべきです。なお、速報はZoom Rooms、ブラウザ経由のアクセス、その他のZoom製品を影響対象として挙げていません。

Zoomは、この脆弱性を自社の内部チームであるZoom Offensive Securityチームが発見したとしています。勧告には、悪用の実証や技術的な攻撃手順、実際の攻撃での悪用が確認されたことを示す記載はありません。

また、どのような情報が漏えいし得るのかも具体的に示されていません。こうした情報不足により、実際の攻撃に必要な条件や、露出し得る情報の正確な機微度を判断することは困難です。

当面の対策は、利用可能な最新のZoomアップデートを適用することです。管理対象の環境については、勧告にプラットフォームごとおよびブランチごとの境界が示されているため、影響を受けるクライアントが修正版に更新されたかを確認する際の助けになります。

新たなマルウェアが出現したら、すぐに防御を更新しましょう。1万6000のSOCのデータを活用したTIフィードを統合。