概要
Zoomの画面共有時に使われる注釈(アノテーション)機能に、最大CVSS 8.3の深刻な脆弱性が複数発見された。最も重大なCVE-2026-53413は、会議参加者が特別に細工した描画メッセージを送るだけで、被害者側クライアントのユーザー操作を一切必要とせず(ゼロクリック)任意コードを実行できるというもの。イスラエルのセキュリティ企業A Securityが発見し、Zoomは既に全対応プラットフォーム向けに修正パッチを提供済みで、現時点で悪用の報告やCISAの既知悪用脆弱性(KEV)カタログへの掲載はない。
技術的な詳細
問題の中心はZoom独自プロトコルにおける注釈機能の実装にある。テキスト注釈ツールは受信した描画データを構造化オブジェクトへ変換する際、固定128バイトのバッファに対して十分なサイズ検証を行わずに書き込んでおり、攻撃者が過大なパケットを送ることでバッファオーバーフローを引き起こしリターンアドレスを上書きできる(CVE-2026-53413、CVSS 8.3)。加えて、未初期化のヒープメモリを読み取ることでアドレス空間ランダマイゼーション(ASLR)を回避するための情報を抽出できるバッファオーバーリードの脆弱性(CVE-2026-53414、CVSS 6.5)、およびZoom自身が既に発見していたuse-after-free脆弱性(CVE-2026-53415、CVSS 8.3)も存在した。VDIクライアントには別途パストラバーサルによる情報開示の脆弱性(CVE-2026-53416)も報告されている。
攻撃者は、メッセージ型のチェックが不十分な点を突き、悪意ある描画データを「受領確認」として他の参加者に送信することで、被害者クライアントに強制的にオブジェクトの完全な再構築を行わせ、メモリ破壊を引き起こす。会議に参加または主催するだけで個々の参加者を標的にでき、被害者側に視認可能な兆候は残らないという。
発見の経緯とZoomの対応
今回特筆すべきは発見のスピードだ。A Securityは、これまで精鋭チームが数ヶ月かけて発見するレベルの脆弱性を、公開されているAIモデルへの20件未満のプロンプトから24時間以内に動作するエクスプロイトへとたどり着いたと報告している。AIを活用した脆弱性発見の高速化を示す事例として注目されている。
Zoomは全ての対応プラットフォームに対して修正パッチを提供済みで、Zoom Workplaceはバージョン7.1.5(または7.0.6)以降、VDIクライアントは7.0.11(または6.6.16)以降、Rooms/Meeting SDKは7.1.0(または7.1.5)以降で問題が解消されている。Zoomを利用する組織はFortune 100企業の7割や米連邦機関にも及ぶため、影響範囲は広い。専門家はクライアントの即時アップデートに加え、エンドツーエンド暗号化(E2EE)を無効化してサーバー側フィルタリングを有効にすること、パスコードや待機室によるアクセス制御の強化、不要な場合は注釈機能自体を制限することを推奨している。