Zoomの「Zoomsday」脆弱性、注釈機能の悪用でゼロクリックRCEが可能に
Zoomに「Zoomsday」脆弱性、ゼロクリックRCEの可能性
2026年8月12日、Zoomにリモートコード実行（RCE）やデータ改ざん、情報漏えいにつながる可能性のある複数のセキュリティ脆弱性が確認された。「Zoomsday」と呼ばれる一連の脆弱性には、Zoomの注釈機能を悪用することで、ユーザーによる操作を必要とせずに任意のコードを実行できる、いわゆるゼロクリックRCEにつながる問題も含まれている。Zoomはこれらの問題に対応するセキュリティアップデートを公開しており、影響を受けるユーザーに最新版への更新を呼びかけている。
CVE-2026-53413、注釈機能を介したゼロクリックRCEの恐れ
特に注目されるのがCVE-2026-53413で、ユーザーによる操作を必要としない「ゼロクリック」攻撃につながる可能性がある。この脆弱性は注釈機能に関連する通信プロトコルに存在し、悪意のある参加者がバッファオーバーフローを引き起こすことで、他の参加者のデバイス上で任意のコードを実行できる恐れがある。
同日に公開された他の脆弱性もZoomクライアントや仮想デスクトップインフラストラクチャ（VDI）などに影響を及ぼす可能性がある。Zoomはセキュリティアドバイザリを公開し、影響を受けるZoom Workplace、Zoom Rooms、Meeting SDKなどを修正版へ更新するよう呼びかけている。組織では、管理対象の端末に最新バージョンを展開し、影響を受ける環境を速やかに更新することが重要となる。
脆弱性への迅速な対応と継続的なセキュリティ対策
AI技術の発展に伴い、サイバー攻撃の自動化や手法の高度化が進む可能性も指摘されている。一方、今回確認されたZoomの脆弱性について、AIを利用した攻撃との直接的な関連性は明らかになっていない。そのため、組織には新たな攻撃手法への警戒とともに、公開された脆弱性情報を継続的に確認し、修正版を速やかに適用する基本的なセキュリティ対策が求められる。特に、Zoomのように組織内外のコミュニケーションで広く利用されるソフトウェアについては、影響を受けるバージョンを把握し、適切なアップデート管理を行うことが重要となる。
