Zoom、無認証でアカウント乗っ取りが可能な最高深刻度の脆弱性を修正-CVSS 9.8(CVE-2026-53412)|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月21日更新日時: 2026年07月21日

Zoomは2026年7月、Windows版デスクトップクライアントおよびMeeting SDKに存在する、CVSSスコア9.8(緊急)の脆弱性を修正するセキュリティアドバイザリ(ZSB-26014)を公開しました。認証を一切必要とせず、ネットワーク経由でアカウントを乗っ取れるという極めて深刻な脆弱性で、あわせて3件の高深刻度の権限昇格脆弱性も修正されています。

サマリー

Zoomは2026年7月、セキュリティアドバイザリZSB-26014にて、Windows版Zoomデスクトップクライアント、Windows版VDIクライアント、Windows版Meeting SDKに存在する脆弱性CVE-2026-53412(CVSSスコア9.8、緊急)を公開した
この脆弱性は不適切な入力検証に起因するもので、未認証の攻撃者がネットワークアクセスのみでアカウントの乗っ取りを行える。攻撃条件はネットワーク経由・低い攻撃複雑さ・権限不要・ユーザー操作不要とされ、深刻度の高さを裏付けている
発見はZoom自社のOffensive Securityチームによるもので、外部研究者からの報告ではない。Zoomは技術的な詳細を明らかにしていない
対象となるのは、Zoom Workplace for Windowsのバージョン7.0.0未満、Windows VDI Clientのバージョン7.0.10・6.6.15・6.5.18未満(各ブランチ)、Meeting SDK for Windowsのバージョン7.0.0未満
同時に、3件の高深刻度の脆弱性も修正されている。CVE-2026-53410(CVSSスコア7.0、TOCTOUレースコンディション)、CVE-2026-53409(CVSSスコア7.8、不適切な権限管理、Zoom Rooms for Windows対象)、CVE-2026-53411(CVSSスコア7.8、不適切な入力検証、Workplace VDI Plugin対象)で、いずれも認証済みのローカルユーザーによる権限昇格を許すもの
本稿執筆時点で、これら4件のいずれについても実際の悪用や概念実証(PoC)コードの公開は確認されていない
Zoomは利用者に対し、最新版への速やかなアップデートを推奨している

CVE ID	深刻度	CVSSスコア	内容
CVE-2026-53412	Critical	9.8	不適切な入力検証によるアカウント乗っ取り(未認証・ネットワーク経由)
CVE-2026-53409	High	7.8	Zoom Roomsにおける不適切な権限管理(ローカル権限昇格)
CVE-2026-53411	High	7.8	VDI Pluginにおける不適切な入力検証(ローカル権限昇格)
CVE-2026-53410	High	7.0	インストール/アンインストール時のTOCTOUレースコンディション(ローカル権限昇格)

1 何が起きたか-無認証でのアカウント乗っ取りを許す脆弱性
2 同時に修正された3件の権限昇格脆弱性
3 頻発するZoomの脆弱性修正-年間25件超のアドバイザリ
4 情報システム部門への示唆
5 出典

何が起きたか-無認証でのアカウント乗っ取りを許す脆弱性

Zoomのセキュリティアドバイザリによれば、CVE-2026-53412は、Windows版Zoomデスクトップクライアント、Windows版VDIクライアント、Windows版Meeting SDKにおける不適切な入力検証の脆弱性で、「未認証のユーザーがネットワークアクセスを介してアカウントの乗っ取りを行う可能性がある」と説明されています。CVSSベクター文字列は「AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H」で、攻撃はネットワーク経由・低い攻撃複雑さ・事前の権限不要・ユーザー操作不要という、極めて悪用しやすい条件がそろっています。この脆弱性は、Zoom自社のOffensive Securityチームによって発見されたもので、外部の研究者による報告ではありません。Zoomは、脆弱性の技術的な仕組みについて詳細を明らかにしていません。

対象となるのは、Zoom Workplace for Windowsのバージョン7.0.0未満、Windows VDI Clientのバージョン7.0.10・6.6.15・6.5.18未満(それぞれのブランチ)、そしてMeeting SDK for Windowsのバージョン7.0.0未満です。Windows版クライアントは世界中の何百万もの個人・組織で利用されており、影響範囲は非常に広範囲に及びます。アカウントが乗っ取られた場合、今後の会議への影響だけでなく、保存されているチャット履歴、クラウドサブスクリプション情報、連絡先情報、そして場合によってはより広範な社内インフラへ接続するシングルサインオン(SSO)の認証情報にまでアクセスされる恐れがあると指摘されています。

同時に修正された3件の権限昇格脆弱性

Zoomは同じアドバイザリで、3件の高深刻度の脆弱性もあわせて修正しています。CVE-2026-53410(CVSSスコア7.0)は、Windows版のZoom Workplace、VDI Client/Plugin、Zoom Rooms、Zoom Contact Center向けRemote Controlのインストール・アンインストール処理における、TOCTOU(time-of-check to time-of-use)レースコンディションの脆弱性で、認証済みのローカルユーザーがインストール・アンインストール処理中に権限を昇格できる可能性があります。CVE-2026-53409(CVSSスコア7.8)は、Zoom Rooms for Windowsのバージョン7.1.0未満における不適切な権限管理の脆弱性で、ローカルアクセス権を持つ認証済みユーザーが権限を昇格できます。CVE-2026-53411(CVSSスコア7.8)は、Workplace VDI Plugin for Windowsのバージョン6.6.14未満における不適切な入力検証の脆弱性で、同じくローカルアクセス権を持つ認証済みユーザーによる権限昇格を許します。本稿執筆時点で、これら4件のいずれについても実際の悪用や概念実証コードの公開は確認されていません。

頻発するZoomの脆弱性修正-年間25件超のアドバイザリ

当サイトでもこれまで、Windows向けZoomクライアントのインストーラーにおけるレースコンディション脆弱性(CVE-2025-49456、CVE-2025-49457)、VDIクライアントのインストーラーにおける暗号署名検証の不備(CVE-2025-64740)、Zoom Roomsにおける権限昇格の脆弱性(CVE-2025-67460)など、Zoom関連の脆弱性を継続的に報じてきました。海外メディアの報道によれば、Zoomは2026年だけですでに25件を超える公開セキュリティアドバイザリを発行しているとされ、Windowsクライアントのインストーラー・アップデート処理を中心に、権限昇格・レースコンディション系の脆弱性が繰り返し発見・修正されている実態がうかがえます。今回のCVE-2026-53412は、この一連の流れの中でも、未認証・ネットワーク経由でのアカウント乗っ取りという、これまでで最も深刻度の高い部類の脆弱性です。

情報システム部門への示唆

自組織でZoomを利用している場合は、Zoom Workplace for Windowsをバージョン7.0.0以降へ、VDI環境を利用している場合はブランチに応じて7.0.10・6.6.15・6.5.18以降へ、速やかに更新してください。個々の利用者がクライアントメニューの「アップデートを確認」から手動で確認・更新することも可能ですが、Intune・JAMF・ManageEngine・SCCM等のMDM(モバイルデバイス管理)・エンタープライズ展開ツールを利用している組織では、自動インストールポリシーを通じて対象端末へ一斉展開することを強く推奨します。

Zoomはビデオ会議・チャット・クラウドストレージ・SSO連携等、企業の業務インフラの一部として深く組み込まれているケースが多く、アカウント乗っ取りが成立した場合の影響範囲は単一のツールにとどまりません。政府機関、医療機関、金融サービス、技術企業等、機密性の高い情報を扱う組織ほど優先的な対応が求められます。あわせて、Zoomのように年間を通じて頻繁にセキュリティアドバイザリが発行されるソフトウエアについては、個々のパッチ適用を利用者任せにせず、組織として脆弱性情報の収集・展開を一元管理する体制を整えておくことが、今回のような未認証で悪用可能な脆弱性への迅速な対応につながります。