ビデオ会議サービスのZoomは、Windows版のアプリ「Zoom Workplace」に見つかった2件の欠陥を修正するアップデートを公開しました。このうち1件は、危険度を10点満点で表す指標「CVSS」で9.6と評価されており、最も深刻な「緊急」レベルにあたります。Zoomは仕事でも学校でも広く使われているため、影響を受ける人は少なくないとみられます。
今回修正された脆弱性は、どちらも「権限昇格」と呼ばれる種類のものです。権限昇格とは、本来は許されていない操作ができる立場を、攻撃者が不正に手に入れてしまうことを指します。1件目の「CVE-2026-108186」(CVSS 9.6)は、アプリが受け取ったデータを十分にチェックしていなかったことが原因です。2件目の「CVE-2026-108187」(CVSS 8.1)は、通信の相手が正しい送り元かどうかの確認が不十分だったことが原因とされています。なお「CVE」は、見つかった欠陥を世界共通で区別するための管理番号です。
気がかりなのは、どちらも「認証されていない利用者」が「ネットワーク経由」で悪用できるとされている点です。つまり、攻撃者はZoomにログインしている必要がなく、離れた場所から仕掛けられる可能性があります。ただし、具体的にどのような操作で成立するのかといった詳しい内容は公表されていません。また、Zoomは現時点で、これらの欠陥が実際の攻撃に使われたとは述べていません。
影響を受けるバージョンは欠陥ごとに異なります。CVE-2026-108186は、Windows版Zoom Workplaceの7.1.0以降で7.1.8より前のバージョン、CVE-2026-108187は7.1.5より前のバージョンが対象です。したがって、7.1.8以降に更新すれば両方とも解消されます。Zoomでは今年7月にも、同じWindows版アプリで、アカウントを乗っ取られるおそれのある深刻な欠陥(CVE-2026-53412、CVSS 9.8)が修正されています。
WindowsでZoomを使っている人は、アプリ右上のプロフィール画像をクリックし、メニューから更新を確認して、最新版になっているかを確かめておくと安心です。会社や学校のパソコンでアプリの更新が管理されている場合は、担当者の案内に従ってください。ふだんあまりZoomを起動しない人ほど古いバージョンのまま残りがちなので、次の会議の直前ではなく、気づいたときに更新しておくのがおすすめです。