Zoom Workplace Windows版の脆弱性、修正版あり
Windows版Zoom Workplaceの7.1.0以上7.1.8未満に、認証なしでネットワーク越しに権限を昇格できる脆弱性があります。7.1.8へ更新し、社内の端末の版を洗い出してください。
急ぎ度: 早めに
CVSS v3は9.6で認証なしにネットワーク経由で狙えますが、修正版7.1.8が2026年11月10日の公表と同時に出ているため、早めの更新で対処できます。
関係があるか
Windows端末でZoom Workplaceを使っている組織が対象です。会議用に全社員のPCへ入れている企業ほど、対象端末が多くなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Zoom Workplace for Windows | 7.1.0以上、7.1.8未満 | 7.1.8 |
確かめ方
- 1Zoomのアプリ内でバージョン情報を開き、7.1.0以上7.1.8未満になっていないかを見ます。
- 2資産管理ツールや配布ツールを使っている場合は、Windows端末のZoom Workplaceの版を一覧で出し、7.1.8未満の端末を抜き出します。
- 3Windows以外のOS向けの版の扱いは、Zoomのセキュリティ告知ZSB-26023で確認してください。
何が起きたか
Windows版のZoom Workplaceに、入力の検証が不十分な脆弱性があります。認証を受けていない攻撃者がネットワーク越しに権限を昇格できる可能性があり、2026年11月10日にZoomが告知ZSB-26023として公表しました。
CVSS v3は9.6で、重大度はcriticalです。分類はCWE-20（不適切な入力検証）で、影響範囲はほかのコンポーネントにまで及ぶと評価されています。報告したのはZoom Offensive Securityで、Zoom自身のセキュリティチームが見つけた脆弱性です。
修正版は7.1.8です。Zoomは、zoom.us/downloadにある最新版への更新を案内しています。
攻撃の流れ
-
1
細工した入力
認証を受けていない攻撃者が、ネットワーク経由で不正な入力をアプリに届けます。
-
2
利用者の操作
攻撃が成立するには、端末の利用者による何らかの操作が必要です。
-
3
検証の不備
Windows版Zoom Workplaceが入力を十分に検証せず、想定外の処理が起きます。
-
4
権限の昇格
本来持たない権限を得られ、機密性・完全性・可用性への影響が大きくなります。
どう悪用されるか
攻撃者は認証を受けている必要がなく、ネットワーク経由で狙えます。攻撃の複雑さは低いと評価されている一方、利用者の操作が必要です。会議アプリの利用者が日常的に行う操作がきっかけになりうる点には、注意が要ります。
悪用されると、機密性・完全性・可用性のすべてに大きな影響が出ると評価されています。端末内の情報の読み出し、書き換え、サービスの妨害が想定されます。Zoom Workplaceだけでなく、ほかのコンポーネントにも影響が及ぶ評価です。
今すぐやること
-
1
対象端末の版を洗い出す
Windows端末のZoom Workplaceを調べ、7.1.0以上7.1.8未満の端末を一覧にします。台数が多いときは、更新の優先順を決める材料になります。
-
2
7.1.8以降へ更新する
Zoomのダウンロードページから最新版を入手して適用します。手動更新に任せている端末が多い場合は、配布ツールで一斉に展開するほうが漏れを減らせます。
-
3
更新後の版を確認する
更新が終わった端末で、版が7.1.8以降になっているかを確認します。長く再起動していない端末や、社外で使われる端末は更新が遅れがちなので、後追いで確認してください。
-
4
社内に周知する
管理外のPCに自分でZoomを入れている社員もいます。最新版へ更新するよう案内を出しておくと、見落としが減ります。
背景
Zoom Workplaceは、ビデオ会議のほか、チャットや電話などの機能をまとめたZoomのデスクトップアプリです。社外の取引先や顧客ともつながるため、通信で受け取る入力を正しく検証する仕組みの重みが大きくなります。
今回の脆弱性は、入力検証の不備というごく基本的な分類に入ります。会議アプリでは、全社員の端末に同じ版が入っていることが多いため、修正版が出たあとは、更新が行き渡っているかどうかが実際の安全度を左右します。
よくある質問
Q.利用者の操作が必要なら、急がなくてもよいでしょうか。
まだ分かっていないこと
- 攻撃の成立に必要な利用者の操作の具体的な内容は、Zoomの告知に記載がありません。
- 実際の攻撃での悪用が確認されたかどうかは、Zoomの告知に記載がありません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Zoom CommunicationsZoom Workplace |
7.1 以上 7.1.8 未満→ 7.1.8 |
7.1.8 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper Input Validation in Zoom Workplace for Windows may allow an unauthenticated user to conduct an escalation of privilege via network access.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web zoom.com
- web nvd.nist.gov
- web github.com