Zoomは2026年10月13日、Zoom Workplaceなどに関する深刻度「High」の脆弱性4件を、公式のセキュリティ速報(ZSB-26019〜ZSB-26022)で公表しました。CVSSは7.4〜8.1で、対策はいずれもアプリを最新版に更新することです。Web会議は業務で広く使われており、情シスの対応を公式情報から整理します。
4件の脆弱性の内訳
4件とも2026年10月13日に公表されました。公表時点で、悪用やPoC(実証コード)公開の報告はありません。
| 速報 |
CVE |
内容 |
CVSS |
主な対象 |
| ZSB-26019 |
CVE-2026-53418 |
権限昇格(URLスキームの認可不備) |
8.1 |
Android |
| ZSB-26020 |
CVE-2026-53420 |
バッファオーバーフロー(Zoom Phone) |
8.0 |
全プラットフォーム |
| ZSB-26021 |
CVE-2026-108184 |
証明書検証不備(情報漏えい) |
7.4 |
Windows(Workplace・VDI・Rooms) |
| ZSB-26022 |
CVE-2026-108185 |
証明書検証不備(My Notes機能) |
7.4 |
Windows/macOS/Linux/Android/iOS |
とくにZSB-26021とZSB-26022の証明書検証不備は、認証もユーザーの操作も不要で成立しうるとされ、通信の内容が漏れるおそれがあります。認証・操作が不要なタイプは、影響が広がりやすい点に注意が必要です。
Zoomの脆弱性4件の内訳と情シスの対応(編集部作成)作成: 編集部 / もとの資料: 情シスのミカタ編集部
影響する会社・しない会社
影響するのは、Zoom Workplace(デスクトップ・モバイル)を業務で使っているすべての会社です。Windows中心の会社はZSB-26021・26022、Androidの業務端末があればZSB-26019、Zoom Phoneを使っていればZSB-26020と、使い方によって関わる脆弱性は変わりますが、いずれも最新版への更新で解消します。Zoom RoomsやVDIクライアントを使っている会社は、これらも対象です。
一方、Zoomをまったく使っていない会社は、今回の件の直接の対象ではありません。ただし、ほかのWeb会議ツールでも同種の脆弱性は定期的に見つかります。使っているツールの更新と配布管理の仕組みを、この機会に確認しておくとよいでしょう。
情シスが今日やること
- バージョンを確認する: 社内で使っているZoom Workplaceの版を確認します。目安は7.2.0以降(Androidは7.2.1以降)です
- 更新する: 最新版へ更新します。最新版にすれば、今回の4件はいずれも解消します。ダウンロードは公式のzoom.us/downloadから行います
- まとめて配る仕組みを確認する: 自動更新の有効化や更新を強制するポリシー、MSI・MDMでの配布を使い、端末の版をそろえます。各自まかせは更新漏れのもとです
- 見落としやすいものを個別に確認する: Zoom Rooms(会議室端末)やVDIクライアントは更新が漏れやすいので、別途確かめます
- 今後の通知を受け取る: Zoomのセキュリティ速報の一覧ページで、今後の脆弱性情報を受け取れるようにしておきます
Web会議は毎日使うぶん、更新を後回しにしがちです。深刻度Highが4件同時に出た今回を機に、「各自で更新」から「管理者がまとめて版をそろえる」運用へ見直しておくと、次からの対応が楽になります。
