新たに公表されたZoomの脆弱性2件により、攻撃者が影響を受けるWindowsコンピューターで権限を昇格できる可能性がある。
Zoomは、Windows向けWorkplaceアプリケーションの脆弱性2件に対処するセキュリティアップデートを公開した。この中には、10点満点で9.6の深刻度評価を受けた重大な脆弱性も含まれる。これらの脆弱性により、認証されていない攻撃者がネットワーク経由で権限を昇格させ、影響を受ける企業や個人のデバイスを危険にさらす可能性がある。
同社が問題を公表したのは11月10日であり、Zoomを日常的なコミュニケーションに利用する組織にとって、タイムリーなアップデートとなる。Zoomはセキュリティ勧告で、いずれの脆弱性についても現在悪用されているとは報告していないが、WindowsユーザーとIT管理者はインストール済みのバージョンを確認し、最新の修正を適用すべきだ。
Zoomのセキュリティ脆弱性により攻撃者が権限を昇格できる可能性
Zoomのセキュリティ勧告によると、より深刻な脆弱性CVE-2026-108186は、Windows向けZoom Workplaceにおける不適切な入力検証に起因する。
不適切な入力検証とは、ソフトウェアが受け取ったり処理したりする情報を十分に確認できていない状態を指す。影響を受けるコンポーネントによっては、攻撃者がこの弱点を悪用して意図しない動作を引き起こす可能性がある。
Zoomによると、この脆弱性により、認証されていない攻撃者がネットワーク経由で権限を昇格できる可能性がある。実際には、権限昇格によって攻撃者は通常なら利用できないアクセス権や権限を取得できる場合がある。
この脆弱性のCVSSスコアは重大な9.6で、機密性、完全性、可用性に大きな影響を及ぼす可能性がある。評価では、悪用にユーザーの操作が必要とされている一方、攻撃者が既存の権限を持っている必要はない。
Zoomは、悪用を引き起こすために必要な操作が何であるかを公表していない。
この脆弱性の影響を受けるのは、Windows向けZoom Workplaceのバージョン7.1.0から7.1.7まで。バージョン7.1.8以降は影響範囲外となる。
2つ目のZoom脆弱性は深刻度8.1
Zoomはまた、オリジン検証エラーに関係する別の深刻度の高い脆弱性CVE-2026-108187も公表した。
同社の 2つ目のセキュリティ速報によると、この脆弱性でも、認証されていない攻撃者がネットワーク経由で権限を昇格できる可能性がある。
オリジン検証は、リクエストや情報が許容される送信元から来たものかどうかを判断するためのセキュリティ機構だ。こうした検証の弱点は、信頼できる活動と信頼できない活動を区別するためにソフトウェアが依存する境界を損なう可能性がある。
この脆弱性のCVSSスコアは8.1で、Windows向けZoom Workplaceのバージョン7.1.5未満に影響する。
重大な脆弱性CVE-2026-108187と同様に、CVSS評価によると悪用にはユーザーの操作が必要だ。Zoomは、どのような操作が悪用に当たるのかを明らかにしていない。
2つの脆弱性を比較すると、以下のとおりだ。
脆弱性 | 深刻度 | 影響を受けるWindowsのバージョン |
|---|---|---|
| CVE-2026-108186 | 重大、9.6 | 7.1.0～7.1.7 |
| CVE-2026-108187 | 高、8.1 | 7.1.5未満 |
どちらの脆弱性も権限昇格に関係するが、根本的な弱点は異なる。
Zoomは、いずれの問題についても、悪用に至る技術的な一連の手順を完全には開示していない。同社の勧告にも、これらの脆弱性を悪用した攻撃が確認されたとの報告はない。
Zoomの脆弱性が企業にとって重要な理由
Zoomは職場の会議、コラボレーション、コミュニケーションに広く利用されているため、そのデスクトップソフトウェアの脆弱性は、規模を問わず組織に関係する。
特に懸念されるのは、多数のWindowsエンドポイントを管理する企業だ。脆弱なコラボレーションアプリケーションは、従業員が勤務中に日常的に利用する場合、さらなるセキュリティ上の露出を生む可能性がある。
権限昇格の脆弱性に注意が必要なのは、攻撃者が最初に得たアクセスレベルを超えて行動できる可能性があるためだ。脆弱性や周辺の条件によっては、権限の上昇により、攻撃者が機密情報にアクセスしたり、システムの運用を妨害したりする能力が高まる可能性がある。
ただし、潜在的な影響を実際の侵害の証拠と混同してはならない。Zoomはセキュリティ勧告で、新たに公表したいずれの脆弱性についても、現在悪用されているとは報告していない。
今回の公表に先立ち、ZoomのWindowsソフトウェアでは過去にもセキュリティ問題が発生している。7月には、eSecurity Planetが Zoomが重大なアカウント乗っ取りの脆弱性にパッチを適用したことを報じた。この脆弱性により、認証されていない攻撃者がユーザーアカウントを侵害できる可能性があった。
8月の別の報道では、 研究者がAIを使ってZoomのゼロクリック攻撃チェーンを発見した経緯が取り上げられた。これらの事案は異なる脆弱性に関するものだが、広く導入されたコラボレーションツールに継続的なセキュリティ対策が必要な理由を示している。
より広く見れば、権限昇格は企業向けソフトウェアで繰り返し発生する問題だ。eSecurity Planetは以前、 Windows DefenderのShieldBreak脆弱性についても取り上げた。この脆弱性は、影響を受けるWindowsデバイスで攻撃者がSYSTEMレベルの権限を取得する懸念を生じさせた。
Windows向けZoom Workplaceをアップデートする方法
Zoomは、脆弱性に対処するため、利用可能な最新のソフトウェアアップデートをインストールするよう推奨している。
Windowsユーザーがまず行うべきことは、インストールされているZoom Workplaceのバージョンを確認することだ。
Zoomを確認・アップデートするには：
- WindowsでZoom Workplaceのデスクトップアプリケーションを開く。
- プロフィール画像を選択し、ヘルプ > Zoom Workplaceについての順に進んで、インストールされているバージョンを確認する。
- プロフィールメニューに戻り、利用可能な場合はアップデートを確認を選択する。
- 利用可能な最新のアップデートをインストールし、指示が表示された場合はアプリケーションを再起動する。
- Zoom Workplaceが、組織で承認された利用可能な最新バージョンで動作していることを確認する。
ユーザーは、最新のインストーラーを Zoom公式ダウンロードセンターから入手することもできる。
Zoomのインストールを一元管理している組織では、アップデートの手順が異なる場合がある。企業向けソフトウェア管理ツールを通じてインストールされた環境では、アプリ内の標準的なアップデートオプションが表示されないこともある。
IT管理者は、管理対象のWindowsデバイス全体でインストール済みのバージョンを確認し、組織が承認した管理ツールを通じて更新済みソフトウェアを展開すべきだ。
セキュリティチームは、次の予防策も検討すべきだ。
- 影響を受けるWindowsデバイスを優先する：脆弱なバージョンで動作しているZoom Workplaceのインストールを特定する。
- 展開が成功したことを確認する：展開ステータスだけに頼らず、更新済みバージョンがインストールされていることを確認する。
- エンドポイントセキュリティの監視を見直す：予期しない権限変更や通常とは異なるアプリケーションの動作に関係する不審な活動を調査する。
- アプリケーションのインベントリを維持する：コラボレーションソフトウェアを、OSやその他の定期的にパッチを適用するアプリケーションと併せて追跡する。
これらの手順により、組織はエンドポイントのセキュリティ状況を把握しながら、リスクへの露出を減らすことができる。
悪用の確認報告はないが、パッチ適用は依然として重要
Zoomが11月10日に公開した勧告では、いずれの脆弱性についても現在悪用されているとは報告していない。
同社はまた、詳細な攻撃手順や、攻撃者が脆弱性の悪用に成功して顧客のデバイスを侵害した証拠も公表していない。
この不確実性は重要だ。重大な脆弱性という評価は、その評価で示された条件下で深刻な結果が生じる可能性を示すが、実際に悪用が発生していることを証明するものではない。
Windowsエンドポイントを管理する組織が取るべき実際の対応は明確だ。影響を受けるZoom Workplaceのインストールを特定し、最新のアップデートを展開して、脆弱なバージョンがもはや動作していないことを確認する。
今回の公表は、重大なアップデートが遅れると、日常的な業務アプリケーションが大きなセキュリティリスクをもたらし得ることを改めて示している。
関連記事：緊急性の高いソフトウェアのセキュリティアップデートについて詳しく知りたい場合は、 Googleが悪用進行中のChromeゼロデイにパッチを適用した経緯と、脆弱なデバイスを保護するために組織が取るべき対策を参照してほしい。