要点
- Zoom は Windows 版の Zoom Workplace に、重大とされる欠陥（CVE-2026-108186）があると公表した。
- ログインしていない第三者が、ネットワーク越しに自分の権限を引き上げられるおそれがある。ただし、利用者の操作が必要とされている。
- 悪用されたという記載は、Zoom の発表にはない。更新すれば防げるので、早めに最新版にしたい。
何が起きたか
Zoom は 2026年11月10日（米国の日付）、Windows 版 Zoom Workplace の欠陥を2件公表した。
1件目は CVE-2026-108186。入力の確認が不十分という欠陥だ。深刻度の点数（CVSS）は 9.6 で、Zoom は「重大」とした。Zoom によると、ログインしていない人が、ネットワーク経由で権限の昇格（できることを不正に増やすこと）をできる可能性がある。対象は 7.1.0 から 7.1.7 までで、7.1.8 で直る。報告したのは Zoom 自身の攻撃検証チーム（Zoom Offensive Security）である。
2件目は CVE-2026-108187。接続元の確認に不備がある欠陥で、点数は 8.1、「高」とされる。対象は 7.1.5 より前の版だ。報告者は shmoul と記されている。
注意したいのは条件だ。Zoom が示した評価では、どちらも「利用者の操作が必要」とされる。つまり、何もしなくても勝手に破られるという評価ではない。The Hacker News は条件を「特別な権限は要らない」と伝えたが、Zoom の評価には操作が必要と書かれている。
また、Zoom の2件の発表には、すでに攻撃に使われているという記載がない。どんな操作が必要か、どんな攻撃になるかも、発表からは分からない。ここから先は確かめられていない。
日本の利用者への影響
日本での被害の有無は、分からない。対象の版を使っていれば、日本でも同じように当たる。
今すぐやること
- Zoom を開き、自分の版を確かめる。右上のプロフィール画像から「設定」や「ヘルプ」へ進み、バージョン情報を見る。
- 7.1.8 より前なら、Zoom が勧めるとおり、公式の配布ページ（zoom.us/download）から最新版にする。
- 会社の PC なら、自分で入れずに情報システム部門へ連絡する。管理者が一括で更新している場合も多い。
- 見覚えのない会議リンクや、Zoom を装った案内は、更新が済むまで開かない。
- 更新が済んだら、古い版の入った共有 PC やテレワーク用 PC がないかも確認する。
背景
The Hacker News によると、2026年7月にも Windows 版で CVE-2026-53412（点数 9.8）が修正された。会議ソフトは、常に外とつながり、利用者が多い。そのため、欠陥が見つかるたびに更新が呼びかけられる。
今回の点数は高いが、点数は「当たったときの重さ」の目安にすぎない。操作が必要という条件があり、悪用の記載も発表にはない。慌てすぎず、更新を済ませるのがよい。
技術者向けの詳細
- CVE-2026-108186（ZSB-26023）: Improper Input Validation。CVSS 3.1 は 9.6（AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H）。対象は 7.1.0 以上 7.1.8 未満。修正は 7.1.8（発表に明記はなく、対象範囲の外の最初の版）。
- CVE-2026-108187（ZSB-26024）: Origin Validation Error。CVSS 3.1 は 8.1（AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N）。対象は 7.1.5 未満。修正は 7.1.5（同じく暗黙）。
- 公開日は両方とも 2026-11-10（Revision 1.0）。
- 悪用の有無: 2件の発表に記載なし。
- 管理者向け: 配布中のクライアントを 7.1.8 以上へ。資産管理ツールで Zoom の版を一覧にして、7.1.8 未満を洗い出す。
- 詳細は Zoom の発表（下の出典）を参照。
