Zoomの「ゼロクリック」脆弱性により、攻撃者はユーザーの操作なしにデバイス上で悪意のあるコードを実行できる

Zoomの注釈システムに新たに発見された脆弱性によると、攻撃者は、被害者にリンクをクリックさせたり、ファイルをダウンロードさせたり、操作を承認させたりすることなく、Zoomミーティングを足掛かりとして参加者のデバイスを乗っ取ることができる可能性がある。

イスラエルのサイバーセキュリティ企業A Securityによって発見され、「Zoomsday」と名付けられたこれらの脆弱性により、悪意のある参加者は、他の参加者のデバイスのメモリを破損させ、場合によってはリモートコード実行を可能にするような、特別に細工された注釈データを送信することが可能だった。

この情報開示は、個人的に面識のない相手とのオンライン会議に日常的に参加する暗号資産ユーザーやその他の重要標的にとって、特に重要な意味を持ちます。

「Zoomsday」攻撃がデバイスを乗っ取る仕組み

この脆弱性は、Zoomの注釈機能に存在します。この機能により、参加者は会議中に描画やテキストの追加、その他のコンテンツの共有を行うことができます。

あるセキュリティの調査によると、この機能で使用されている独自プロトコルが受信データを自動的に処理するため、悪意のあるメッセージが他の参加者に届く経路が生まれてしまうことが判明しました。

最も深刻な脆弱性である CVE-2026-53413 は、テキスト注釈システムにおける境界チェックの欠如に関連していました。

意図されたメモリ領域を超えて書き込むように設計されたデータを送信することで、攻撃者は他の参加者のマシン上で自身のコードを実行できる可能性があります。

A Securityは、同社の研究者がこの問題を悪用できた理由として、「すべてのZoomクライアントは受信したデータを自動的に解析するため、特別に細工されたメッセージを送信することで、受信側のクライアントのメモリを破損させ、その上でコードを実行できる」と説明しています。

この攻撃は、会議を主催または参加する者によって実行可能であり、注釈プロトコルによって作成された直接通信チャネルを通じて個々の参加者が標的とされます。

同社は次のように述べている。

「このエクスプロイトにより、攻撃者は会議に参加または主催し、任意の参加者を標的とし、被害者側の操作を一切必要とせず、また侵害を示唆する視覚的な兆候もなく、そのマシンを乗っ取ることが可能になる。」

研究者らはまた、リモートコード実行につながる可能性のある「use-after-free」脆弱性であるCVE-2026-53415も特定した。一方、CVE-2026-53414は、バッファオーバーリードを通じてサービス拒否（DoS）状態を引き起こすために悪用される可能性がある。

CVE-2026-53413 および CVE-2026-53415 には、CVSS スコア 8.3 という「高」の深刻度が割り当てられた一方、CVE-2026-53414 は「中」の深刻度と評価された。

AIの助けにより、研究者たちは迅速にエクスプロイトを構築

A Securityは、研究者たちが公開されているAIモデルと攻撃的なセキュリティテストシステムを使用してソフトウェアを調査した後、6月にZoomにこの脆弱性を報告した。

同社によると、20件未満のプロンプトで欠陥を特定し、24時間以内に動作するエクスプロイトを開発することができたという。

ゼロクリック攻撃が成功すれば、標的となったユーザーによる操作は一切不要となるため、研究者らはZoomがクライアント側の修正とサーバー側の保護対策を準備する間、公開を延期した。

あるセキュリティ担当者は次のように述べた。

「ゼロクリックRCEはユーザーの操作を必要としないため、公開前に顧客がクライアント側のパッチとサーバー側の緩和策の両方を受け取る時間を確保することを優先しました。」

この事案は、AIを活用したセキュリティ研究が、広く使用されているソフトウェアの脆弱性の発見とテストを加速させる一方で、深刻な欠陥が見つかった際の防御側の対応時間を短縮してしまうことを示しています。

Zoomのエンドツーエンド暗号化が問題を引き起こす理由

Zoomは、悪意のある注釈メッセージが脆弱なクライアントに到達する前に、それらを特定してブロックするように設計されたサーバー側の保護機能を導入した。

しかし、その保護機能には重要な制限がある。

Zoomは、エンドツーエンド暗号化された会議内のトラフィックを検査することができません。これは、暗号化されたコンテンツに同社のサーバーからアクセスできないためです。

その結果、脆弱性のあるバージョンのZoomクライアントを実行しているユーザーは、サーバー側の対策が実施されていても、E2EE会議を利用する際に依然として危険にさらされる可能性があります。

古くて脆弱なクライアントを安全に保つためには、エンドツーエンドの暗号化を無効にする必要があります。 (出典: A Security)

したがって、セキュリティの専門家たちは、Zoomクライアントの更新が依然として最も信頼できる保護策であると述べている。

Rapid7の脆弱性インテリジェンス担当ディレクター、ダグラス・マッキー氏は次のように述べています。

「管理された環境では、ユーザー自身による更新に頼るのではなく、クライアントの最低バージョンを強制すべきです。」

また同氏は、待合室機能や認証済みユーザーの要件、パスコードを活用して攻撃対象となる範囲にアクセスできる人数を減らすとともに、必要のない場所では注釈機能などの機能を制限することを推奨した。

どのバージョンのZoomを更新する必要があるか？

Zoomは、影響を受ける製品について、サポート対象のすべてのプラットフォーム向けに修正プログラムをリリースした。

Workplaceユーザーは、使用しているブランチに応じて、バージョン7.1.5または7.0.6にアップグレードする必要がある。

Zoom Rooms バージョン 7.1.5 および Meeting SDK バージョン 7.1.5 にも、3 つの注釈機能に関連する脆弱性に対する修正が含まれています。

同社は別途、CVE-2026-53416、 情報漏洩につながる可能性のあるパストラバーサル脆弱性に対して、Windows版Workplace VDI Clientバージョン7.0.11および6.6.16、ならびにWorkplace VDI Pluginsバージョン7.0.11および6.6.15に対して別途パッチを適用しました。

セキュリティ研究者らは、エンドポイント保護ツールをパッチのインストールに代わるものとして扱うべきではないと述べた。

この脆弱性が暗号資産ユーザーにとって重要な理由

会議中にデバイスを乗っ取られる可能性は、同じコンピュータからデジタル資産を管理している人々にとって深刻なリスクとなる。

攻撃が成功した場合、攻撃者はデバイス上に保存されている取引所のアカウント、ウォレットアプリ、個人文書、認証情報、その他の情報にアクセスできる可能性がある。

あるセキュリティ専門家は、被害者のマシン上で実行される悪意のあるコードが、個人情報の窃取、マイクやカメラの起動、あるいは追加のマルウェアのインストールにも利用される可能性があると指摘した。

このリスクは暗号資産業界において特に顕著であり、攻撃者は偽のZoom会議やソーシャルエンジニアリングを繰り返し利用して、業界の専門家を標的にしてきた。

北朝鮮と関連する脅威アクターは以前、乗っ取られたTelegramアカウントやディープフェイクのビデオ通話を利用し、会議の問題を解決するために必要なソフトウェアを装ったマルウェアを被害者にインストールさせるよう説得したことがある。

THORChainの共同創設者であるJP Thor氏は、2025年9月、一見正当に見えるZoomミーティングに参加した結果、約130万ドルを失った。

新たに公開された脆弱性により、こうした攻撃で従来用いられてきた障壁の一つ、すなわち被害者に悪意のあるソフトウェアをインストールさせるという工程が不要になった。

脆弱性のあるZoomクライアントを使用している場合、同じ会議へのアクセスに成功した攻撃者は、参加者に偽のアップデートをダウンロードするよう説得することなく、そのデバイスを悪用できる可能性がある。

セキュリティチームには、攻撃対象領域の縮小が求められている

あるセキュリティ専門家は、組織は悪用試行の疑いがある後に、異常な動作がないか確認すべきだと述べた。

研究者らは、通常のミーティング中にZoomクライアントがブラウザ、シェル、またはスクリプトインタプリタを起動する理由はほとんどないため、そのような活動は検知に役立つ可能性があると指摘した。

また、メモリ破損の試みが失敗すると、攻撃者が確実にコードを実行する前にクラッシュを引き起こす可能性があるため、アプリケーションのクラッシュレポートを一元的に収集することを推奨した。

信頼できない参加者が関与する会議については、あるセキュリティ企業のCEOであるヨッシ・トラティ氏は次のように述べた。

「信頼できない相手との通話では、ブラウザクライアントや専用のVMを使用することで、リスクを大幅に低減できる」

しかし、当面の対策は依然として単純明快です。影響を受けるZoomソフトウェアを更新し、不要な会議へのアクセスを制限し、エンドツーエンド暗号化によってZoomがトラフィックを検査できない状況では、サーバー側のフィルタリングに依存しないようにすることです。