Zoom Workplace for Windowsに未認証のアカウント乗っ取り脆弱性 — CVE-2026-53412(CVSS 9.8)、公開翌日にMeeting SDKを影響対象から削除(ZSB-26014)

Zoomが2026年7月14日、Zoom Workplace for Windowsに影響する重大な脆弱性CVE-2026-53412を公表しました。CVSSは9.8(Critical)で、未認証のリモート攻撃者がネットワーク経由でアカウント乗っ取りを実行できる可能性があります。CWEはCWE-20(Improper Input Validation)に該当します。ZoomはZoom Offensive Security(社内チーム)による発見と報告を明記しており、翌7月15日にはアドバイザリの改訂(Revision 1.1)で影響対象からZoom Meeting SDK for Windowsを削除しています。修正版はZoom Workplace for Windows 7.0.0以降、Zoom Workplace VDI Client for Windowsは7.0.10 / 6.6.15 / 6.5.18以降です。

同日にZoomは、いずれもWindows向け製品を対象とする3件の高深刻度アドバイザリも公開しました。ZSB-26011(CVE-2026-53409、Zoom Roomsの権限昇格)、ZSB-26012(CVE-2026-53410、インストーラのTOCTOU競合)、ZSB-26013(CVE-2026-53411、VDI Pluginの権限昇格)の3件で、いずれもローカル認証済みユーザーによる権限昇格に該当します。この3件はsim0nsecurityという外部リサーチャーが発見・報告しており、CVE-2026-53412を含め、Critical 1件とHigh 3件の計4件が同日に公開されました。記事執筆時点で、Zoomの公式資料には、いずれの脆弱性についても実悪用や再現可能なPoCに関する記載はありません。それでも、Zoom Workplaceは企業のリモートワーク基盤として広く使われる製品であり、対象環境では速やかな更新が推奨されます。

項目	内容
アドバイザリID	ZSB-26014(2026年7月14日公開、2026年7月15日改訂1.1)
CVE識別子	CVE-2026-53412
深刻度	Critical(CVSS 9.8)
CVSSベクトル	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-20(Improper Input Validation)
影響	未認証のリモート攻撃者がネットワーク経由でアカウント乗っ取りを行える可能性
影響対象(改訂1.1時点)	Zoom Workplace for Windows 7.0.0未満/Zoom Workplace VDI Client for Windowsは、7.0系が7.0.10未満、6.6系が6.6.15未満、6.5系が6.5.18未満
修正版	Zoom Workplace for Windows 7.0.0以降/Zoom Workplace VDI Client for Windowsは、7.0系が7.0.10以降、6.6系が6.6.15以降、6.5系が6.5.18以降
入手先	Zoom Workplace: Zoom Download Center/VDI Client・VDI Plugin: Zoom VDI releases and downloads
発見・報告	Zoom Offensive Security(Zoom社内)
実悪用状況	Zoom公式資料に、実悪用や再現可能な公開PoCに関する記載なし
同時公開のZSB	ZSB-26011(CVE-2026-53409、Zoom Rooms LPE、CVSS 7.8)/ ZSB-26012(CVE-2026-53410、インストーラTOCTOU、CVSS 7.0)/ ZSB-26013(CVE-2026-53411、VDI Plugin LPE、CVSS 7.8)

Zoom Workplace for Windowsという製品
CVE-2026-53412の技術的な位置付け
ZSB-26014の改訂:Meeting SDK for Windowsは影響対象から削除
同時公開された3件の高深刻度脆弱性
実悪用と公開PoCの状況
修復手順:更新対象と入手経路
運用担当者にとってのポイント
一次情報・公式情報
参考情報

Zoom Workplace for Windowsという製品

Zoom Workplaceは、ビデオ会議、Team Chat、Zoom Phone、メール・カレンダー、ホワイトボードなどを統合したコラボレーションプラットフォームです。Windows向けのZoom Workplaceは、企業環境で会議やコミュニケーションに利用されるデスクトップクライアントです。今回の脆弱性の対象となるため、組織内に影響バージョンが残っていないかを広く確認する必要があります。

Zoom Workplace VDI Clientは仮想デスクトップ内で動作するZoomクライアントです。利用者側の端末にVDI Pluginを導入する構成では、音声や映像などの処理を端末側へ最適化できます。ZoomはCitrix、VMware、Azure Virtual Desktop、Windows 365、Amazon WorkSpaces、HP Anywareなどに対応するVDIパッケージを提供しています。VDI Clientでは複数のバージョン系列が提供されているため、アドバイザリには7.0系、6.6系、6.5系の修正版が個別に記載されています。

CVE-2026-53412の技術的な位置付け

Zoomのアドバイザリ本文には「Improper Input Validation in Zoom Desktop Client for Windows, Zoom VDI Client for Windows, and Zoom Meeting SDK for Windows may allow an unauthenticated user to conduct an account takeover via network access.」とあります。Zoomは公式資料で技術的な詳細を公表しておらず、内部処理のどの入力検証が不十分であったのか、どのような入力経路を経て悪用されうるのかは明らかになっていません。ここまでで公式に確認できる情報は次の通りです。

攻撃元区分:AV:N(Network)。ネットワーク経由で到達できる位置にいる攻撃者が対象で、被害端末への物理的な接近やローカルアクセスは前提とされていません。
攻撃複雑度:AC:L(Low)。特殊な条件やタイミングを揃える必要はないとされています。
必要な権限:PR:N(None)。攻撃者は事前の認証を必要としません。
ユーザー操作:UI:N(None)。標的ユーザーの明示的な操作は前提とされていません。
影響範囲:C:H / I:H / A:H。機密性、完全性、可用性のいずれも高い影響が評価されています。

「アカウント乗っ取り」の具体像についても、Zoom公式は詳細を示していません。アカウント乗っ取りが成立した場合の影響は、対象ユーザーに割り当てられたライセンス、権限、管理者設定によって異なります。攻撃者が利用できる可能性があるのは、そのアカウントから通常アクセスできる会議、チャット、連絡先、録画、通話などの機能や情報です。Zoomは、今回の脆弱性によって具体的にどの機能へアクセスできるのかを公表していません。また、Zoomはアカウント乗っ取りに至る具体的な処理や、SSO・多要素認証の有無が悪用可否に与える影響を公表していません。そのため、SSOや多要素認証を本脆弱性の代替対策として扱うことはできず、公式に示された修正版への更新が必要です。

ZSB-26014の改訂:Meeting SDK for Windowsは影響対象から削除

ZSB-26014は2026年7月14日に初版(Revision 1.0)が公開され、翌7月15日に改訂1.1が公開されています。改訂1.1でZoomが行った変更は、影響対象製品(Affected Products)からZoom Meeting SDK for Windowsを削除する、というものです。Zoomはこの改訂理由を公表しておらず、Descriptionに残る「Zoom Meeting SDK for Windows」の記述との差異について追加説明は行われていません。

この改訂は速報記事の内容と齟齬を生む形になりました。BleepingComputer、The Hacker News、BetaNews、Security Affairs、Security Onlineなどの主要な速報記事は初版(Rev 1.0)の内容を基に「Zoom Meeting SDK for Windowsも影響対象」と報じています。Zoom Meeting SDKは自社アプリにZoomのビデオ会議機能を組み込みたい開発者向けのSDKで、影響対象に含まれた場合、SDKを利用するアプリ側でも、更新や影響確認が必要になる可能性があります。SDKを利用するアプリへの波及範囲が広い分、影響対象の有無は運用側の対応方針を大きく左右します。ZoomがSDKを対象から外した経緯や、Description本文が修正されない理由については、Zoom公式アドバイザリの今後の改訂を確認する必要があります。

本稿では、記事執筆時点(2026年7月16日)で公開されているZoom公式ZSB-26014 Revision 1.1のAffected Productsを基準に整理しています。運用面では、Zoom Meeting SDK for Windowsを組み込んだ自社アプリを提供している事業者は、状況をZoomの公式アドバイザリで継続的に確認することが推奨されます。

同時公開された3件の高深刻度脆弱性

Zoomは2026年7月14日、CVE-2026-53412(ZSB-26014)と同時に、いずれもWindows向け製品を対象とする3件の高深刻度アドバイザリを公開しました。3件はいずれも、認証済みのローカルユーザーによる権限昇格に該当するもので、外部リサーチャーsim0nsecurityが発見・報告しています。

ZSB-26011 / CVE-2026-53409(CVSS 7.8):Zoom Rooms for Windows 7.1.0未満に存在する不適切な権限管理(Improper Privilege Management)。認証済ローカルユーザーが権限昇格を実行できる可能性があります。CVSSベクトルはCVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H。
ZSB-26012 / CVE-2026-53410(CVSS 7.0):特定のZoom Clients for Windowsのインストール/アンインストール処理におけるTOCTOU(time-of-check to time-of-use)競合状態。影響対象はZoom Workplace for Windows 7.0.5未満、Zoom Workplace VDI Client for Windowsの6.5.17 / 6.6.14未満(各ブランチ)、Zoom Workplace VDI Plugin for Windowsの6.5.17 / 6.6.14未満(各ブランチ)、Zoom Rooms for Windows 7.0.5未満、Remote Control for Zoom Contact Center for Windows 7.0.0未満です。CVSSベクトルはCVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H。
ZSB-26013 / CVE-2026-53411(CVSS 7.8):Zoom Workplace VDI Plugin for Windows 6.6.14未満に存在する不適切な入力検証(Improper Input Validation)。認証済ローカルユーザーが権限昇格を実行できる可能性があります。CVSSベクトルはCVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H。

3件はいずれも、認証済みのローカルユーザーによる権限昇格です。実際のリスクは、対象端末へ低権限ユーザーがログインまたはコードを実行できるか、端末が共用されているかなど、各組織の運用条件によって異なります。Zoomは具体的な攻撃連鎖を公表していません。特にZoom Rooms(会議室に設置される専用端末)、Zoom Workplace VDI Client(仮想デスクトップ)、Remote Control for Zoom Contact Center(コンタクトセンターの遠隔操作機能)といった影響対象は、通常のユーザー端末とは運用モデルが異なる点は認識しておくべきです。

実悪用と公開PoCの状況

Zoomの公式アドバイザリは、実悪用や公開PoCの有無について言及していません。記事執筆時点では、Zoom公式による実悪用の確認や、公式資料に掲載された再現可能なPoCは確認できません。CISAのKnown Exploited Vulnerabilities(KEV)カタログにも、記事執筆時点でCVE-2026-53412および同日公開の3件のCVEは追加されていません。同時に修正された3件のCVE(CVE-2026-53409 / 53410 / 53411)についても、同様に公式資料には実悪用や公開PoCに関する記載はありません。ただしCISA KEVへの未掲載は、悪用されていないことの証明ではない点に留意が必要です。

脆弱性の公表後は第三者による解析が進む可能性がありますが、Zoomは技術的な詳細を公表していません。そのため、PoC作成の難易度や公開時期、具体的な悪用挙動は判断できず、現時点で公式に示されている直接的な対策は修正版への更新です。

修復手順:更新対象と入手経路

Zoomは公式アドバイザリで、更新以外の軽減策や回避策を提示していません。CVE-2026-53412および同時公開のCVE-2026-53409 / 53410 / 53411に対応するために必要な更新は以下の通りです。

Zoom Workplace for Windows:CVE-2026-53412を含む2件のCVEに対応するため、7.0.5以降への更新を推奨します(7.0.0以降でCVE-2026-53412、7.0.5以降でCVE-2026-53410が修正されます)。
Zoom Workplace VDI Client for Windows:7.0系は7.0.10以降、6.6系は6.6.15以降、6.5系は6.5.18以降へ更新します。なお、CVE-2026-53410については6.6系と6.5系のみが影響対象として記載されています。
Zoom Workplace VDI Plugin for Windows:CVE-2026-53411への対応には6.6.14以降が必要です。6.5系を利用している場合は、VDI Clientとの互換性やアップグレード経路を確認したうえで、6.6.14以降への移行を検討してください。
Zoom Rooms for Windows:7.1.0以降(CVE-2026-53409、CVE-2026-53410)への更新を推奨します。
Remote Control for Zoom Contact Center for Windows:7.0.0以降(CVE-2026-53410)への更新を推奨します。
入手経路:Zoom Workplaceなどの通常クライアントはZoom Download Center(https://zoom.us/download)から取得します。VDI ClientおよびVDI Pluginは、Zoomの「VDI releases and downloads」で対応するクライアントとPluginの組み合わせを確認して取得してください。企業配布ではMicrosoft Intune、Microsoft Configuration Manager、その他のソフトウェア配布・資産管理ツール経由でのバージョン強制と、既存クライアントの更新設定の見直しも並行して行うことが望まれます。

ZoomはSecurity Bulletins一覧ページで、セキュリティ情報に基づく個別顧客への影響評価や、脆弱性の追加詳細は提供しないと説明し、最新バージョンへの更新を推奨しています。個別の環境における影響評価はエンドユーザー側で行う必要があり、Zoom側からの追加情報提供を待つのではなく、公式アドバイザリと修正版リリースノートを軸に対応方針を決めることが実務的な進め方になります。

運用担当者にとってのポイント

Zoom WorkplaceおよびZoom関連製品をWindows環境で運用している組織は、以下の観点で対応を進めることが推奨されます。

クライアントの棚卸し:組織内で稼働しているZoom Workplace、Zoom Workplace VDI Client、Zoom Workplace VDI Plugin、Zoom Rooms、Remote Control for Zoom Contact Centerの各バージョンをMDMや資産管理ツールで確認する。VDI Clientの複数ブランチが混在している場合は、ブランチごとの修正版番号の突き合わせが必要です。
更新動作の確認:Zoom Workplaceの更新動作は、インストール方式や組織の管理ポリシーによって異なります。管理者はEnterprise Auto Updateポリシーなどを確認し、対象端末へ修正版が実際に配布されているかを検証してください。
認証設定の確認:SSO、多要素認証、条件付きアクセスなどが組織の方針どおり適用されているかを確認します。ただし、ZoomはこれらがCVE-2026-53412の悪用を防ぐ軽減策になるとは説明していません。認証設定の強化は一般的なアカウント保護として行い、本脆弱性への直接対策はクライアントの更新とします。
Zoom Meeting SDK利用アプリの状況確認:現行のRevision 1.1ではMeeting SDKはAffected Productsに含まれていません。ただしDescriptionとの不整合が残っているため、SDK利用事業者はZoom公式アドバイザリの追加改訂を確認してください。現時点で、この記事を根拠にSDK利用アプリの更新を必須とはしないでください。
Zoom RoomsおよびRemote Control導入端末の扱い:Zoom Rooms端末や、Remote Control for Zoom Contact Centerを導入したWindows端末は、通常のユーザー端末とは運用モデルが異なるため、物理・遠隔アクセス制御と修正版の適用状況を個別に確認します。

Zoom Workplaceのようなコラボレーションクライアントは、業務端末で常駐利用されることが多く、脆弱性が公表されてから修正版が全社に行き渡るまでの時間が、攻撃者が未更新環境を狙える期間になります。今回のCVE-2026-53412は公表時点で公式による実悪用や公開PoCの記載はないものの、CVSSベクトルからは未認証・低複雑度のアカウント乗っ取り経路が示唆されており、対象環境では速やかに修正版へ更新する必要があります。SSOや多要素認証は一般的なアカウント保護として重要ですが、本脆弱性への有効性は公表されておらず、更新の代替にはなりません。

一次情報・公式情報

参考情報

slug: zoom-workplace-cve-2026-53412-account-takeover