Zoom Windows版に緊急の脆弱性、CVSS 9.6

やること

Zoom は11月10日付けで、Windows 版の Zoom Workplace（Zoom のデスクトップアプリ）の脆弱性を2件公表しました。1件は深刻度が Critical（緊急）で CVSS は 9.6、もう1件は High（重要）で 8.1 です。Windows のパソコンで Zoom を使っている会社は、アプリを最新版へ更新してください。

更新は利用者が自分でできます。Zoom のサポートページによると、手順は次のとおりです。

1. Zoom のデスクトップアプリにサインインします
2. 右上のプロフィール画像を押します
3. Check for Updates（更新の確認）を押します。新しい版があれば、ダウンロードとインストールが始まります

アプリから更新できないときは、Zoom のダウンロードページ（zoom.us/download）から最新版を入れ直せます。Zoom の公表文もこのページから最新の更新を適用するよう案内しています。

自動更新が効かない入れ方

サポートページによると、Zoom は新しい更新があると、サインインから24時間以内に通知を出します。更新には必須のものと任意のものがあり、任意の更新はあと回しにできるので、通知を閉じたまま使い続けているパソコンは古い版のまま残ります。

会社でまとめて入れた場合は、入れ方も見てください。MSI のインストーラーで入れた Zoom は自動更新が既定で無効になっていて、Check for Updates のボタンも出ません。サポートページはこの場合、社内の IT 担当か Zoom アカウントの管理者に連絡するよう案内しています。パソコンの設定を業者に任せた会社では、利用者が更新できない状態になっていないかを業者に聞いてください。

2件の脆弱性の違い

CVE-2026-108186 は入力の検証の不備です。認証されていない利用者が、ネットワーク越しに権限を昇格できるおそれがあります。対象は 7.1.0 以降で 7.1.8 より前の版です。Zoom の社内のチーム（Zoom Offensive Security）が見つけました。

CVE-2026-108187 は通信の相手先（オリジン）の検証の誤りです。こちらも認証されていない利用者がネットワーク越しに権限を昇格できるおそれがあります。対象は 7.1.5 より前の版です。報告者の名前は shmoul と書かれています。

権限昇格は、本来は許されていない操作ができる立場を攻撃者が手に入れることです。CVSS の評価では、2件ともネットワークから届き、攻撃者のログインは要りません。一方で、利用者の操作が要る評価になっています。利用者が何をすると成立するのかは、公表文に書かれていません。

公表文には修正版の番号が書かれていません。対象の書き方から、1件目は 7.1.8、2件目は 7.1.5 で直ったと読めますが、Zoom の案内は最新版への更新です。いちばん新しい版を入れてください。

悪用の状況

2件の公表文に、悪用されたという記載はありません。CISA の悪用済み脆弱性の一覧（KEV）にも、11月10日の更新の時点で載っていません。

Mac 版やスマートフォン版は、この2件の対象に書かれていません。

中小企業が学べること

Web 会議のアプリは、入れたあとに誰も版を見ていないことが多いソフトです。ブラウザーや Windows は自動で更新されても、Zoom の任意の更新は通知をあと回しにすると古いまま動き続けます。

社内のパソコンに入っているアプリの一覧に Zoom を加え、月に1回、版を見る日を決めてください。Microsoft の月例更新と同じ日にすると忘れにくくなります。11月の月例更新は Microsoft 11月の月例更新、悪用されたOutlookの脆弱性を修正 にまとめています。