ZoomがWindows版アプリの脆弱性を修正、ネットワーク経由でアカウントを乗っ取られる恐れ

要点

• 米Zoomは、Windows向けアプリケーション「Zoom Workplace」等において、アカウントが乗っ取られる危険性がある極めて深刻な脆弱性を修正した。
• 最も危険性が高い脆弱性「CVE-2026-53412」は、脆弱性の深刻度を示す世界基準であるCVSSスコアで最高値に近い「9.8」と評価されている。
• この最重要の脆弱性に加えて、ローカルからシステム権限を昇格させることができる高深刻度な脆弱性3件も同時に修正された。
• 今回修正された計4件の脆弱性について、現時点で実際の攻撃に悪用された形跡は確認されていないが、速やかなアップデートの適用が推奨されている。

• 米Zoomは、Windows向けの複数のアプリケーション製品に存在する重大なセキュリティ上の欠陥を修正するため、セキュリティアップデートを公開した。この欠陥を悪用されると、攻撃者によってZoomのアカウントを乗っ取られる危険性があるという。今回のアップデートでは、最も深刻なアカウント乗っ取りの脆弱性のほか、権限の昇格につながる高深刻度の脆弱性3件も併せて対処されている。

ネットワーク経由でアカウント乗っ取りを可能にする「CVE-2026-53412」

今回公開されたセキュリティアドバイザリの中で、最も危険視されているのが脆弱性「CVE-2026-53412」である。この脆弱性は、システムの脆弱性を評価するための世界共通の基準であるCVSS（Common Vulnerability Scoring System）において、10点満点中「9.8」という極めて高い深刻度スコアが付けられている。

影響を受けるとされる製品は、Windows向けの「Zoom Desktop Client」、「Zoom VDI Client」（VDI：サーバー上に構築された仮想デスクトップ環境に手元の端末から接続して利用する仕組み）、および「Zoom Meeting SDK」（SDK：ソフトウェア開発を効率的に行うためのプログラムのパッケージ）である。

Zoomの発表によると、この脆弱性の原因は「不適切な入力値の検証」にあるという。入力値の検証とは、システムに入力されるデータが安全なものであるかを事前にチェックする仕組みを指す。この検証プロセスに不備があるため、認証されていない第三者であっても、ネットワークアクセスを通じて不正なデータを送り込むことにより、対象のアカウントを乗っ取ることが可能になるという。

権限昇格を許す3件の高深刻度脆弱性

さらに今回のセキュリティアップデートでは、深刻度が「高（High）」に分類される別の3件の脆弱性も修正されている。

1つ目の脆弱性は「CVE-2026-53411」（CVSSスコア：7.8）である。これは、バージョン6.6.14より前のWindows向け「Zoom Workplace VDI Plugin」に存在する入力値検証の不備だ。すでに認証されたユーザーが、ローカルアクセス（ネットワーク経由ではなく、対象のデバイスに直接または同等に近い形でアクセスする状態）を利用して、システム上の権限を昇格できる恐れがあるという。権限昇格とは、一般ユーザーの権限しか持たないアカウントが、管理者などのより高い操作権限を不正に取得することを意味する。

2つ目の脆弱性は「CVE-2026-53410」（CVSSスコア：7.0）である。これは、特定のWindows向けZoomクライアントのインストールおよびアンインストールのプロセスにおいて発生する「TOCTOU（Time-of-Check to Time-of-Use）レースコンディション」と呼ばれる設計上の不具合に起因するものだ。TOCTOUレースコンディションとは、プログラムがデータの状態を確認するタイミングと、実際にそのデータを利用するタイミングの間に発生するタイムラグを利用した脆弱性を指す。これにより、認証されたローカルユーザーが権限を昇格させることができる可能性がある。

このCVE-2026-53410の影響を受ける製品とバージョンは多岐にわたり、以下のものが挙げられている。

• バージョン7.0.5より前のWindows向け「Zoom Workplace」
• 各ブランチにおいてバージョン6.5.17および6.6.14より前のWindows向け「Zoom Workplace VDI Client」
• 各ブランチにおいてバージョン6.5.17および6.6.14より前のWindows向け「Zoom Workplace VDI Plugin」
• バージョン7.0.5より前のWindows向け「Zoom Rooms」
• バージョン7.0.0より前のWindows向け「Remote Control for Zoom Contact Center」

3つ目の脆弱性は「CVE-2026-53409」（CVSSスコア：7.8）である。これは、バージョン7.1.0より前のWindows向け「Zoom Rooms」における、不適切な特権の管理（プログラムが各機能に与える実行権限を正しく制御できていない問題）に起因する。これにより、認証されたユーザーがローカルアクセスを通じて権限を昇格させることができる危険性がある。

悪用の確認状況と求められる対応

Zoomによれば、今回の発表時点で、これら4つの脆弱性が実際のハッキングや攻撃などにおいて悪用されているといった報告や形跡は確認されていないという。しかし、アカウントの乗っ取りや特権の不正取得など、万が一悪用された場合のリスクは非常に大きいことから、Zoomは対象となるWindows製品のユーザーに対して、最新のセキュリティアップデートを速やかに適用し、自身のアカウントとシステムを保護するよう呼びかけている。