Zoomの画面共有やホワイトボードで利用される注釈機能に複数の脆弱性が見つかり、悪意ある会議参加者から別の参加者の端末で遠隔コード実行(Remote Code Execution:RCE)につながる可能性があることが明らかになりました。
セキュリティ企業A Securityは、この研究を「Zoomsday」と命名しています。中心となるCVE-2026-53413は、Zoomクライアントが注釈データを処理する際の境界チェック不足によるバッファー上書きの脆弱性です。ZoomはCVSS 8.3(High)と評価し、会議参加者がネットワーク経由で別の参加者にRCEを引き起こす可能性があると公式セキュリティ情報で説明しています。
A Securityによると、被害者側は攻撃用リンクをクリックしたり、ファイルをダウンロードしたり、確認ダイアログを承認したりする必要はなく、同じZoom会議へ参加しているだけで攻撃対象になり得ました。同社はこの性質を「ゼロクリックRCE」と表現しています。
ただし、インターネット上の任意のZoom利用者へ無条件に攻撃できる脆弱性ではありません。攻撃者は対象者と同じZoom会議へ参加するか、自ら会議を主催する必要があります。また、Zoom公式の共通脆弱性評価システム(Common Vulnerability Scoring System:CVSS)ベクトルはCVE-2026-53413を利用者操作あり(UI:R)として評価しています。研究者側の「ゼロクリック」という説明とZoomのCVSS表記には見かけ上の違いがあるため、本記事では両者を区別して扱います。
Zoomはすでにクライアント側とサーバー側の対策を実施しています。利用者はZoom Workplaceなどを最新の修正版へ更新することが最優先です。
Zoomsdayで公開された3件の脆弱性
| CVE | 内容 | Zoom評価 | 主な影響 |
|---|---|---|---|
| CVE-2026-53413 | 注釈機能の境界チェック不足によるバッファー上書き | CVSS 8.3(High) | 別の会議参加者でRCE |
| CVE-2026-53414 | 注釈機能の境界チェック不足によるバッファー過剰読み取り | CVSS 6.5(Medium) | 別の会議参加者にサービス拒否(DoS) |
| CVE-2026-53415 | 注釈機能の解放済みメモリ使用(use-after-free) | CVSS 8.3(High) | 別の会議参加者でRCE |
Zoomの公式セキュリティ情報では、CVE-2026-53413とCVE-2026-53415について、会議参加者がネットワークアクセスを通じて別の参加者にRCEを引き起こす可能性があるとしています。CVE-2026-53414はバッファー過剰読み取りによって別の参加者のZoomクライアントを停止させるサービス拒否(Denial of Service:DoS)につながる可能性があります。
3件すべてが同じ「注釈機能」に関係しますが、影響は同一ではありません。Zoom公式ではCVE-2026-53414の主な影響はRCEではなくDoSであり、他2件とは区別して扱う必要があります。
A Securityは、53414の過剰読み取りで得た情報を、macOSで53413をRCEへつなげる際のアドレス空間配置のランダム化(Address Space Layout Randomization:ASLR)回避に利用しました。ただし53414が必須ではなく、Androidでは情報漏えいを使わない別経路も示しています。
また、CVE-2026-53415はA Securityも研究中に発見しましたが、報告時点ですでにZoom側が独自に把握し、対策を進めていました。Zoom公式は発見元をZoom Offensive Securityとしています。このため、「A Securityが3件すべてを最初に発見した」とするのも正確ではありません。
問題はZoomの「注釈機能」に存在
注釈機能は、Zoomの画面共有やホワイトボード上で、参加者が線を描く、テキストを入力する、図形やスタンプを追加するといった共同作業に利用する機能です。
A Securityの分析によると、これらの注釈は単純な画像として送信されるのではなく、描画内容を表すデータとして送信され、受信側のZoomクライアントで再構築されます。そのため、送信側の参加者から受け取ったデータを解析する処理自体が攻撃面になります。
研究者は、Zoomクライアントが受信した注釈データを自動的に解析する点に注目しました。CVE-2026-53413では、この解析処理の境界チェックが不足していたため、想定された領域を越えてメモリへ書き込める状態につながりました。
Zoomの公式説明でも、注釈機能の境界チェック不足によりバッファー上書きが発生し、会議参加者から別の参加者へのRCEにつながる可能性があるとされています。
本記事では安全上の理由から、研究者が公開した注釈プロトコルの具体的なメッセージ構造、内部関数名、メモリ配置の操作方法、ポインター書き換え方法、概念実証(Proof of Concept:PoC)の再現手順など、攻撃コードの構築へ直接利用できる低レベル情報は掲載しません。
攻撃者は会議の参加者である必要がある
Zoomsdayの危険性を理解するうえで重要なのが、攻撃者と被害者の位置関係です。
A Securityによると、攻撃者はZoom会議の主催者または参加者として同じ会議へ入る必要があります。研究では、画面共有を行っている側から参加者を狙う方向だけでなく、参加者側から画面共有者を狙う方向でも攻撃経路を確認しています。
したがって、「Zoomをインストールしているだけでインターネット上の攻撃者から乗っ取られる」という内容ではありません。
一方で、通常のフィッシングのように被害者へ不審なリンクを踏ませたり、添付ファイルを開かせたりする必要がない点は重要です。攻撃者が会議へ参加できる状態になれば、受信側クライアントが注釈データを自動的に解析することが攻撃成立の起点になります。
公開会議、不特定多数が参加できるオンラインイベント、会議URLやパスコードが外部へ漏えいした会議などでは、「会議参加者であること」自体を信頼の根拠にしない運用が重要です。
「ゼロクリック」とZoom公式のUI:Rはどう理解すべきか
A Securityは、CVE-2026-53413を被害者側のクリック、ダウンロード、追加操作を必要としない「ゼロクリックRCE」と説明しています。同社の実証では、被害者は同じ会議へ参加している以外に攻撃成立のための操作を求められませんでした。
一方、Zoom公式のCVE-2026-53413に対するCVSS v3.1ベクトルは、利用者操作(User Interaction)をRequired、つまりUI:Rとしています。CVE-2026-53415も同様にUI:Rです。
この2つの表現を同一視せずに読む必要があります。A Securityの「ゼロクリック」は、悪意ある注釈データを受信した後に被害者がクリックやファイル実行をする必要がないという攻撃動作を表しています。ZoomのCVSS評価は、脆弱性悪用に必要な利用条件をスコアリングしたものです。
Zoomはセキュリティ情報でUI:Rとした具体的理由を詳しく説明していないため、「会議への参加そのものを利用者操作として評価した」と断定することはできません。本記事では、研究者がゼロクリックと表現している事実と、Zoom公式CVSSがUI:Rである事実の双方を併記します。
WindowsだけでなくZoomの複数プラットフォームへ影響
今回の問題はWindows固有の脆弱性ではありません。
Zoom公式のCVE-2026-53413、CVE-2026-53414、CVE-2026-53415のセキュリティ情報は、Zoom Workplaceの「すべてのサポート対象プラットフォーム」を影響対象として掲載しています。
A Securityも、研究した注釈処理のコードが複数プラットフォームで共有されていることを確認し、Windows、macOS、iOS、Androidなどで検証したと説明しています。同社の概要ではLinuxも影響対象として挙げています。
さらにZoom Workplaceだけでなく、Zoom Rooms、Zoom Meeting SDK、Windows向けZoom Workplace VDI Clientも影響製品に含まれます。
そのため企業では、従業員PCのZoom Workplaceだけを更新して終わりにせず、会議室端末、仮想デスクトップ基盤(Virtual Desktop Infrastructure:VDI)、Zoom Meeting SDKを組み込んだシステムまで確認する必要があります。
3件すべてを考慮した更新バージョン
Zoomの2026年8月11日付セキュリティ情報を基準に、今回の3件すべてへの対応を考える場合は、少なくとも以下のバージョン以降を使用する必要があります。
| 製品 | 3件すべてを考慮した修正版 |
|---|---|
| Zoom Workplace | 7.1.5または7.0.6以降(利用している保守ブランチに応じる) |
| Zoom Workplace VDI Client for Windows | 7.0.11または6.6.16以降(利用している保守ブランチに応じる) |
| Zoom Rooms | 7.1.5以降 |
| Zoom Meeting SDK | 7.1.5以降 |
A Securityが公開した開示時系列では、CVE-2026-53413とCVE-2026-53414に対するクライアント側修正は6月22日のZoom 7.1.0で先行して提供され、その後7月20日の7.1.5でCVE-2026-53415へのクライアント側修正が提供されています。
一方、Zoomが8月11日に公開した正式なセキュリティ情報では、Zoom Workplaceについて7.1.5と7.0.6、VDI Clientについて7.0.11と6.6.16などを影響有無の境界として掲載しています。
個別CVEごとの過去の修正時点を追うより、現在サポートされている最新のZoomクライアントへ更新することを推奨します。Zoom自身も、最新の修正とセキュリティ改善を受けるため最新版への更新を案内しています。
サーバー側でも7月15日に緩和策を導入
Zoomはクライアント更新だけでなく、2026年7月15日にサーバー側の緩和策も導入しました。
A Securityによると、この緩和策は悪意ある注釈メッセージをZoom側でフィルタリングし、更新前の古いクライアントへ到達するのを防ぐ仕組みです。通常のZoom会議で使用される暗号化方式では、このサーバー側フィルターによる保護を受けられます。
ただし、エンドツーエンド暗号化(End-to-End Encryption:E2EE)を有効にした会議では事情が異なります。E2EEではZoomのサーバーが会議内容を復号できないため、サーバー側で悪意ある注釈データを検査して遮断できません。
A Securityは、E2EEを利用する場合、古い脆弱なクライアントではサーバー側緩和策に頼れないとして、すべてのクライアントを修正版へ更新するよう求めています。更新が完了するまでの一時的な緩和策としてE2EEを無効化する方法も挙げています。
ただし、E2EEには会議内容をZoom側でも復号できなくするという別のセキュリティ・プライバシー上の目的があります。組織の規程や機密性要件を無視して安易に無効化するのではなく、あくまでクライアント更新を優先してください。
人工知能を使い24時間以内、20プロンプト未満で実証したと報告
Zoomsdayが注目されるもう一つの理由が、人工知能(Artificial Intelligence:AI)を利用した脆弱性研究です。
A Securityは、公開されているAIモデルと自社のエージェントを使用し、対象の選定から脆弱性発見、動作する攻撃実証の構築までを24時間以内、20プロンプト未満で行ったと報告しています。
研究はAndroid版Zoom 7.0.4の解析から始まり、AIを使って多数のネイティブライブラリや関数を絞り込み、その後、遠隔の参加者から到達可能な処理へ分析対象を切り替えた結果、注釈機能へ到達したと説明されています。
ただし、「AIが人間の関与なしにZoomを自律的にハッキングした」と理解するのは適切ではありません。
公開資料にはIdan Levcovich氏をはじめとする研究者による解析、判断、検証が含まれています。また、A Securityは利用したモデルを「publicly available AI models」としていますが、公開記事では具体的なモデル名を明示していません。
「20プロンプト未満」「24時間以内」という数字もA Security自身が公表した研究結果であり、第三者が同一条件で独立再現したことを示す情報は本記事執筆時点では確認できません。そのため、本記事ではA Securityの主張として扱います。
公開まで約2カ月待った理由
A Securityは2026年6月8日に脆弱性を発見し、翌6月9日にZoom Client 7.0.5で複数プラットフォームへのゼロクリックRCEを確認したとしています。
| 日付 | 出来事 |
|---|---|
| 2026年6月8日 | A Securityが注釈機能のメモリ破壊脆弱性を発見 |
| 2026年6月9日 | Zoom Client 7.0.5でRCEを実証 |
| 2026年6月10日 | A SecurityがZoomへ報告 |
| 2026年6月11日 | Zoomが報告を受領 |
| 2026年6月22日 | 7.1.0でCVE-2026-53413、CVE-2026-53414のクライアント修正 |
| 2026年7月15日 | Zoomがサーバー側緩和策を導入 |
| 2026年7月20日 | 7.1.5でCVE-2026-53415のクライアント修正 |
| 2026年8月11日 | ZoomとA Securityが脆弱性を公開 |
A Securityは、利用者操作を必要としないRCEの危険性を考慮し、クライアント側修正とサーバー側緩和策が利用者へ行き渡る時間を確保してから詳細を公開したと説明しています。
つまり、8月11日の公開日に初めて修正版が提供されたわけではありません。主要なクライアント側修正は6月と7月に先行して配布され、サーバー側の緩和策も7月に展開されていました。
実際の攻撃で悪用された証拠は確認されていない
Zoomsdayは深刻な攻撃実証が公開されていますが、研究実証と実際のサイバー攻撃は分けて考える必要があります。
2026年8月13日時点で、ZoomやA Securityの公開情報には、CVE-2026-53413、CVE-2026-53414、CVE-2026-53415が実際の攻撃キャンペーンで悪用されたとの記載は確認できません。また、同日時点でこれら3件のCVEはCISAの既知の悪用が確認された脆弱性カタログ(Known Exploited Vulnerabilities:KEV)への登録も確認できません。
したがって、「Zoom利用者がすでに大規模攻撃を受けている」と表現する根拠はありません。
一方、詳細な研究結果が公開された後は、攻撃者が修正内容や公開情報を分析する可能性があります。実悪用が確認されてから対応するのではなく、Zoomが案内する最新版へ更新することが重要です。
管理者が優先して確認すべきこと
1.Zoomクライアントを最新版へ更新する
最優先はZoomの更新です。Zoom Workplace、Zoom Rooms、Zoom Meeting SDK、Windows向けVDI Clientを使用している場合、それぞれのバージョンを確認してください。
個人管理端末だけでなく、企業の会議室PC、共有端末、VDI環境、アプリケーションに組み込んだMeeting SDKは更新漏れが起きやすいため注意が必要です。
2.最低クライアントバージョンを組織側で管理する
A SecurityはZoomの管理機能を利用し、プラットフォームごとに最低クライアントバージョンを設定することを推奨しています。
従業員へ「最新版へ更新してください」と通知するだけでは、長期間利用していない端末や個人所有端末(Bring Your Own Device:BYOD)、外部参加者などに古いクライアントが残る可能性があります。組織で管理できる範囲では、古いバージョンからの参加を制限する運用を検討してください。
3.会議への参加者を管理する
今回の攻撃には同じZoom会議への参加が必要です。待機室、参加者認証、パスコード、会議URLの共有範囲など、既存のZoom会議セキュリティ設定も防御層になります。
これらは脆弱性そのものを修正する対策ではありませんが、攻撃者が会議参加者になる機会を減らします。
4.E2EE利用環境では特にクライアント更新を確認する
E2EEを常用している組織は、サーバー側の緩和策だけに依存できません。
機密会議でE2EEを必要とする場合は、暗号化を解除することよりも参加端末を修正版へ統一することを優先してください。社外参加者を含む会議では、最低バージョン制御も合わせて検討します。
5.更新後も「会議参加者=信頼済み」と考えない
Zoomsdayは、オンライン会議の参加者から別の参加者へ届くアプリケーション内部データが攻撃面になり得ることを示しました。
会議URLの公開範囲を最小化し、不審な参加者を許可しない、参加者名だけで本人確認しない、重要会議では認証を要求するといった基本的な管理も継続してください。
今回のニュースで誤解しやすい点
第一に、Zoomをインストールしているだけで世界中の攻撃者からRCEされる脆弱性ではありません。攻撃者は対象者と同じ会議へ参加する必要があります。
第二に、A Securityが「ゼロクリック」と説明している一方、Zoom公式CVSSはUI:Rです。被害者が悪意あるリンクをクリックする必要がないことと、攻撃成立に会議参加という前提条件があることを分けて理解する必要があります。
第三に、CVE-2026-53413、CVE-2026-53414、CVE-2026-53415の影響は同じではありません。CVE-2026-53414の公式な主影響はDoSで、他2件がRCEにつながる可能性のあるHigh評価です。
第四に、E2EEを有効にすれば今回の攻撃を防げるわけではありません。同じ会議内の悪意ある参加者は暗号化された正規の通信相手であり、逆にZoomサーバー側のフィルタリングが利用できなくなります。
第五に、「AIが完全自律で20プロンプトだけでZoomを乗っ取った」とは確認できません。24時間以内・20プロンプト未満はA Security自身の報告であり、研究者による判断や専門的な解析環境も含まれています。
まとめ
Zoomsdayは、Zoomの画面共有・ホワイトボードで利用される注釈機能に存在した複数のメモリ安全性問題をA Securityが分析した研究です。
最も注目されるCVE-2026-53413はCVSS 8.3(High)のバッファー上書き脆弱性で、Zoom公式も会議参加者から別の参加者へのRCEにつながる可能性を認めています。CVE-2026-53415もRCEにつながる可能性があり、CVE-2026-53414はDoSを引き起こす可能性があります。
A Securityは被害者側のクリックやダウンロードを必要としないことからゼロクリックRCEと説明していますが、攻撃者は同じZoom会議へ参加する必要があります。またZoom公式のCVSSではUI:Rとなっているため、単純に「誰にでも無条件でゼロクリック攻撃できる」と理解するのは適切ではありません。
さらに同社は、公開AIモデルとエージェントを用いて24時間以内、20プロンプト未満で脆弱性発見から攻撃実証まで進めたと報告しています。ただし、この数字はA Security自身の主張であり、人間の研究者の関与や専門的な解析環境を含む点にも注意が必要です。
Zoomは公開前にクライアント修正とサーバー側緩和策を展開しています。利用者と管理者は実悪用の有無を待つのではなく、Zoom Workplace、Zoom Rooms、VDI Client、Meeting SDKを現在サポートされている最新版へ更新してください。特にE2EEを使用する環境では、サーバー側緩和策に依存せずクライアント更新を徹底することが重要です。
コメント