Zoomが重大なセキュリティ更新を公開、Windowsユーザーは深刻度9.6の脆弱性にパッチ適用を

新たに公表されたZoomの2件の脆弱性により、攻撃者がWindowsコンピューター上で昇格した権限を取得できるおそれがあります。

Zoomは、Windows向けWorkplaceアプリケーションの2件の脆弱性に対処するセキュリティアップデートを公開しました。うち1件は、10点満点中9.6と評価された重大な脆弱性です。いずれも、認証されていない攻撃者がネットワーク経由で権限を昇格できる可能性があり、企業や個人のデバイスが危険にさらされるおそれがあります。

同社がこれらの問題を公表したのは11月10日です。日常的なコミュニケーションにZoomを使っている組織にとって、早急な対応が求められるアップデートです。Zoomはセキュリティ情報の中で、どちらの脆弱性についても悪用が確認されたとは報告していません。それでも、Windowsユーザーと IT管理者はインストール済みのバージョンを確認し、最新の修正を適用する必要があります。

Zoomのセキュリティ欠陥により、攻撃者が昇格した権限を取得できるおそれ

Zoomのセキュリティ情報によると、より深刻な脆弱性であるCVE-2026-108186は、Zoom Workplace for Windowsにおける不適切な入力検証が原因です。

不適切な入力検証とは、ソフトウェアが受け取った情報や処理する情報を十分に確認しない場合に生じる問題です。影響を受けるコンポーネントによっては、攻撃者がこの弱点を悪用し、意図しない動作を引き起こせる可能性があります。

Zoomによると、この脆弱性を悪用すると、認証されていない攻撃者がネットワーク経由で権限を昇格できる可能性があります。権限昇格とは、本来許可されている範囲を超えたアクセス権や権限を攻撃者が得ることを指します。

この脆弱性のCVSSスコアは9.6で、深刻度は「重大」です。機密性、完全性、可用性のいずれにも高い影響が及ぶ可能性があります。評価では、攻撃者に事前の権限は必要ないものの、悪用にはユーザーの操作が必要とされています。

Zoomは、悪用の引き金となる具体的な操作を公表していません。

影響を受けるのは、Zoom Workplace for Windowsのバージョン7.1.0から7.1.7までです。バージョン7.1.8以降は影響を受けません。

2件目のZoomの脆弱性は深刻度8.1

Zoomは、オリジン検証の不備に関する別の高深刻度の脆弱性、CVE-2026-108187も公表しました。

同社の 2件目のセキュリティ情報によると、この欠陥でも、認証されていない攻撃者がネットワーク経由で権限を昇格できる可能性があります。

オリジン検証は、リクエストや情報が信頼できる送信元から送られたものかどうかを判断するためのセキュリティ機構です。この検証に弱点があると、ソフトウェアが信頼できる動作とそうでない動作を区別するための境界が損なわれるおそれがあります。

この脆弱性のCVSSスコアは8.1で、Zoom Workplace for Windowsの7.1.5より前のバージョンが影響を受けます。

重大な脆弱性であるCVE-2026-108187と同様に、CVSSの評価ではユーザーの操作が必要とされています。Zoomは、どのような操作が悪用にあたるのかを明らかにしていません。

2件の脆弱性を比較すると次のとおりです。

どちらの脆弱性も権限昇格に関わるものですが、根本的な原因は異なります。

Zoomは、いずれの問題についても、悪用の手順全体を示す技術的な詳細を公表していません。また、同社のセキュリティ情報には、これらの脆弱性を悪用した攻撃が確認されたという報告もありません。

Zoomの脆弱性が企業にとって重要な理由

Zoomは職場での会議やコラボレーション、コミュニケーションに広く使われています。そのため、デスクトップ版ソフトウェアの脆弱性は、規模を問わずさまざまな組織に関わります。

とりわけ、多数のWindowsエンドポイントを管理する企業にとっては重大な懸念です。従業員が業務時間中ずっと使うコラボレーションアプリに脆弱性があれば、新たなセキュリティ上のリスクを生むおそれがあります。

権限昇格の脆弱性に注意が必要なのは、攻撃者が最初に得たアクセスレベルを超えて活動できるようになるためです。脆弱性や周辺の状況によっては、昇格した権限により、攻撃者が機密情報にアクセスしたり、システムの動作を妨害したりする能力が高まる可能性があります。

ただし、潜在的な影響と、実際に侵害が起きた証拠を混同してはなりません。Zoomはセキュリティ情報の中で、新たに公表した2件の欠陥のどちらについても悪用が確認されたとは報告していません。

今回の公表は、ZoomのWindows向けソフトウェアをめぐる過去のセキュリティ問題にも続くものです。eSecurity Planetは7月、 Zoomが重大なアカウント乗っ取りの脆弱性を修正したと報じました。認証されていない攻撃者がユーザーアカウントを侵害できる可能性がある問題でした。

8月にも、 研究者がAIを使ってZoomのゼロクリック攻撃チェーンを発見した経緯を取り上げた記事を掲載しています。これらは今回とは別の脆弱性に関する事例ですが、広く導入されているコラボレーションツールには継続的なセキュリティ対策が欠かせないことを示しています。

より広く見ると、権限昇格はエンタープライズ向けソフトウェア全般で繰り返し起きている問題です。eSecurity Planetは以前、 Windows Defenderの脆弱性「ShieldBreak」も取り上げました。影響を受けるWindowsデバイスで、攻撃者がSYSTEMレベルの権限を得られるおそれがあるとして懸念を呼んだ問題です。

Zoom Workplace for Windowsの更新方法

Zoomは、これらの脆弱性に対処するため、利用可能な最新のソフトウェアアップデートをインストールするよう推奨しています。

Windowsユーザーがまず行うべきなのは、インストールされているZoom Workplaceのバージョンを確認することです。

Zoomの確認と更新の手順:

1. WindowsでZoom Workplaceデスクトップアプリを開きます。
2. プロフィール画像を選択し、ヘルプ > Zoom Workplaceについてに進んで、インストール済みのバージョンを確認します。
3. プロフィールメニューに戻り、アップデートを確認が表示されていれば選択します。
4. 利用可能な最新のアップデートをインストールし、求められた場合はアプリケーションを再起動します。
5. Zoom Workplaceが、組織で承認された最新バージョンで動作していることを確認します。

最新のインストーラーは、 Zoomの公式ダウンロードセンターから入手することもできます。

Zoomを一元管理で導入している組織では、更新の手順が異なる場合があります。企業向けのソフトウェア管理ツールで導入した環境の一部では、標準のアプリ内アップデート機能が表示されません。

IT管理者は、管理下のWindowsデバイス全体でインストール済みバージョンを確認し、組織が承認した管理ツールで更新版を配布してください。

セキュリティチームは、次のような対策も検討するとよいでしょう。

• 影響を受けるWindowsデバイスの優先対応: 脆弱なバージョンのZoom Workplaceがインストールされた環境を特定する。
• 展開成功の検証: 配布ステータスだけに頼らず、更新版が実際にインストールされていることを確認する。
• エンドポイントのセキュリティ監視の見直し: 予期しない権限の変化や、アプリケーションの異常な動作がないか調査する。
• アプリケーション台帳の維持: コラボレーションソフトも、OSなど定期的にパッチを適用するアプリケーションと並べて管理する。

こうした対策は、エンドポイントのセキュリティ状況を可視化しつつ、組織のリスクを抑えるのに役立ちます。

悪用は確認されていないが、パッチ適用は引き続き重要

11月10日付のZoomのセキュリティ情報には、どちらの脆弱性についても悪用が確認されたという記載はありません。

同社は、詳細な攻撃手順や、攻撃者がこれらの欠陥を悪用して顧客のデバイスを侵害することに成功した証拠も公表していません。

この不確実性は重要です。「重大」という評価は、その評価に反映された条件のもとで深刻な結果を招き得ることを示すものであり、実際に悪用が起きていることを意味するわけではありません。

Windowsエンドポイントを管理する組織が取るべき対応は明快です。影響を受けるZoom Workplaceのインストールを特定し、最新のアップデートを展開して、脆弱なバージョンがもう動作していないことを確認してください。

今回の公表は、重要なアップデートが遅れると、日常的な業務アプリケーションでも重大なセキュリティリスクが生じ得ることを改めて示しています。

関連記事: 緊急のソフトウェアセキュリティ更新についてさらに知りたい方は、 Googleが実際に悪用されているChromeのゼロデイ脆弱性にパッチを適用した件と、脆弱なデバイスを守るために組織が取るべき対策をご覧ください。