Zoomクライアントの注釈機能の脆弱性CVE-2026-53413
- タグ
- 国外
Zoomの2026年8月11日のセキュリティ速報によると、クライアントの注釈（annotator）機能の欠陥で、会議の参加者がネットワーク経由で別の参加者のリモートコード実行に至りうる［1、3］。報告者のA Securityは、発見から攻撃コードの作成までを、公開のAIモデルへの20回未満のプロンプトで24時間未満に行ったと説明した［16］。Zoomの広報担当者はDecryptに、問題は既に解決していると述べた［20］。
脆弱性の内容
| CVE | 概要 | 成立条件 | CVSS | 資料 |
|---|---|---|---|---|
| CVE-2026-53413（ZSB-26015） | 注釈機能の境界チェックの欠如によるバッファの上書き（CWE-787）。別の参加者のリモートコード実行に至りうる | 会議の参加者がネットワーク経由で起こす | 8.3（High） | ［1、8］ |
| CVE-2026-53414（ZSB-26016） | 注釈機能の境界チェックの欠如によるバッファの過読（CWE-126）。別の参加者にサービス拒否を起こしうる | 会議の参加者がネットワーク経由で起こす | 6.5（Medium） | ［2、9］ |
| CVE-2026-53415（ZSB-26017） | 注釈機能の解放後使用（CWE-416）。別の参加者のリモートコード実行に至りうる | 会議の参加者がネットワーク経由で起こす | 8.3（High） | ［3、10］ |
| CVE-2026-53416（ZSB-26018） | Zoom VDI Clientとプラグインのパストラバーサル（CWE-23）。情報漏えいを起こしうる | 認証済みの利用者がローカルアクセスで起こす | 7.1（High） | ［4、11］ |
Zoomの速報では、CVE-2026-53413と53414の報告者はA Securityの研究者である［1、2］。CVE-2026-53415はZoom Offensive Securityが、CVE-2026-53416はJPMorgan ChaseのXORチームの研究者が報告した［3、4］。A Securityは、CVE-2026-53415も報告したものの、報告の前にZoomが見つけて修正していたと説明した［16］。
- A Securityによると、攻撃者は会議に参加するかホストして、任意の参加者を狙える［16］。
- 注釈機能は、利用者がその会議で使っているかどうかに関わらず悪用でき、「常時有効」である［16］。
- 脆弱性は、Zoomクライアントの7.0.5以前の全版にある［16］。
Neatは、いずれの欠陥もホストや発表者の権限なしに、任意の参加者が遠隔から起こせるとした［6］。
A Securityが示した仕組み
A Securityの研究記事によると、注釈は型付きのオブジェクトとして直列化され、PDU（CAnnoPduAddObjなど）で送られて受信側で復元される［16］。同じソースが、Windows・macOS・iOS・Androidのクライアントに組み込まれる［16］。Neatの説明では、直列化したメッセージはZoomのMultimedia Routerを経て他の参加者に届く［6］。
発表者から参加者への下りの経路は確認応答を運ぶはずだが、A Securityが追った経路では、受信側のファクトリ関数は送信者の役割も発信元も確かめない［16］。AddObj（0x10001）を確認応答の位置に置くと、受信側はオブジェクトを完全に復元する［16］。
CVE-2026-53413では、CAnnoFormatBlockのDeserialize関数が固定長128バイトのバッファ4つに書き込む［16］。各バッファには、通信から読んだ文字数（32ビット）の2倍のバイトを複写し、文字数は0でないかだけを確かめる［16］。スタック上の704バイトの領域を越えて戻りアドレスまで書け、ヒープ上の592バイトの子オブジェクトを通る経路もある［16］。
CVE-2026-53415は、内部番号75のauto-shapeのメタデータ（CAnnoObjAutoMetaShape）の処理にある［16］。攻撃者が与えたポインタを確かめずに連結リストから外すため、任意のアドレスに任意の値を書ける［16］。
A Securityの説明では、攻撃者は被害者の操作も侵害を示す画面上の手がかりも無しに端末を乗っ取れ、乗っ取った後は個人データの窃取、マイクやカメラの起動、他の不正なソフトの導入ができる［16］。攻撃は双方向で、乗っ取られた発表者からは全参加者に、任意の参加者からは発表者に届く［16］。A Securityは、これをWindows・macOS・iOS・Androidで確かめた［16］。
説明の食い違い
Zoomの速報のCVSSベクターでは、CVE-2026-53413〜53415のUser Interactionの値はいずれもRequired（操作を要する）である［1、2、3］。A Securityは研究記事で、会議に参加する攻撃者が全参加者に対し、全ネイティブクライアントでゼロクリックのリモートコード実行ができると説明した〔注1〕［16］。被害者に求められるのは会議にいることだけで、クリックもダウンロードも要らない［16］。
CVE-2026-53414の影響を、Zoomはサービス拒否とし、機密性への影響をNone（無し）とした［2］。A Securityは、受信側が文字数に応じた領域を0で埋めずに確保し、実際に届いたバイトだけを複写するため、受信側のヒープの残りが読めると説明した［16］。被害側のクライアントで、コードとvtableのポインタを含むヒープを取得したと記した［16］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | A Security | 注釈のメモリ破壊の脆弱性を見つけた | ［16］ |
| 2026年 | A Security | クライアント7.0.5で、全プラットフォームのゼロクリックのリモートコード実行を確かめた | ［16］ |
| 2026年 | Zoom | CVE-2026-53413の番号を予約した | ［8］ |
| 2026年 | A Security | Zoomに報告した | ［16］ |
| 2026年 | Zoom | 報告の受領を確かめた | ［16］ |
| 2026年 | Zoom | Zoom Workplace 7.1.0を公開し、CVE-2026-53413と53414をクライアント側で修正した | ［5、16］ |
| 2026年 | Zoom | 旧版向けにサーバー側の緩和策を入れた | ［6、16］ |
| 2026年 | Zoom | Zoom Workplace 7.1.5を公開し、CVE-2026-53415をクライアント側で修正した | ［5、16］ |
| 2026年 | Zoom | デスクトップアプリのセキュリティ強化を含む7.0.6を公開した | ［5］ |
| 2026年 | Zoom | 速報ZSB-26015〜26018とCVEレコードを公開した | ［1、2、3、4、8］ |
| 2026年 | A Security | 研究記事を公開した | ［16］ |
| 2026年 | Neat | Neat端末向けのadvisory（NEAT-SA-2026-08-13）を公開した | ［6］ |
| 2026年 | Zoom | ZSB-26015〜26017を1.1に改訂してZoom Video SDKを影響製品に加え、ZSB-26015と26016ではZoom Workplaceの版を訂正した | ［1、2、3］ |
| 2026年 | Neat | 修正を含むZoom Roomsの版をStable Channelに出した | ［6］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Zoom Workplace（全対応プラットフォーム） | CVE-2026-53413・53414は7.1.0と7.0.6（各系列）より前〔注2〕 | 7.1.0、7.0.6 | ［1、2］ |
| Zoom Workplace（全対応プラットフォーム） | CVE-2026-53415は7.1.5と7.0.6（各系列）より前 | 7.1.5、7.0.6 | ［3］ |
| Zoom Workplace VDI Client for Windows | CVE-2026-53413〜53415は7.0.11と6.6.16（各系列）より前 | 7.0.11、6.6.16 | ［1、2、3］ |
| Zoom Workplace VDI Client for Windows、Zoom Workplace VDI Plugins | CVE-2026-53416は7.0.11と6.6.15（各系列）より前 | 7.0.11、6.6.15 | ［4］ |
| Zoom Rooms、Zoom Meeting SDK | CVE-2026-53413・53414は7.1.0より前、CVE-2026-53415は7.1.5より前〔注3〕 | 7.1.0、7.1.5 | ［1、2、3］ |
| Zoom Video SDK | CVE-2026-53413・53414は2.6.0より前、CVE-2026-53415は2.6.5より前 | 2.6.0、2.6.5 | ［1、2、3］ |
| Zoom Roomsを動かすNeat端末（Neat Bar・Neat Board・Neat Pad・Neat Frameなど） | Zoom Rooms Controller/Applianceの7.1.0（CVE-2026-53413・53414）か7.1.5（CVE-2026-53415）より前を同梱するNeatOS | Controller 7.1.5 (5387)、Appliance 7.1.5 (10317) | ［6］ |
Neatは深刻度をCritical（最高の影響）とした［6］。Neatの説明では、侵害された会議室の端末で、攻撃者が端末のカメラやマイクへのアクセス、データの持ち出し、ローカルネットワークへの足場としての利用に至りうる［6］。
悪用の状況
MS-ISACは8月12日の注意喚起（2026-081）で、実環境での悪用の報告は無いとした［13］。危険度は政府と企業（規模を問わず）でHIGH、家庭の利用者でLOWとし、公開の記事がこの脆弱性を「Zoomsday」と呼んでいると記した［13］。Orca Securityも解説で、実環境での悪用は報告されていないとした［17］。
| CVE | Exploitation | Automatable | Technical Impact | 資料 |
|---|---|---|---|---|
| CVE-2026-53413 | none | no | total | ［8］ |
| CVE-2026-53414 | none | - | partial | ［9］ |
| CVE-2026-53415 | none | - | total | ［10］ |
NVDの記録では、CVE-2026-53413は「Awaiting Analysis」（分析待ち）の状態で、CISAの既知の悪用された脆弱性（KEV）への追加日の項目は無い［12］。
HKCERTの8月12日の注意喚起では、4件をまとめてMedium Riskとした［14］。シンガポールのCSAは8月20日の警報AL-2026-108で、利用者と管理者に、影響を受ける製品の最新の更新を速やかに適用するよう求めた［15］。
修正と回避策
Zoomは速報で、利用者にzoom.us/downloadにある最新の更新の適用を案内した［1］。
Zoomのリリースノートによると、7.0.6はデスクトップアプリのセキュリティ強化を含み、この修正は7.1.5以降の版にも含まれる［5］。
Neatの8月13日のadvisoryでは、Zoomのサーバー側の緩和策は悪意ある注釈のメッセージをクライアントに届く前に除くが、エンドツーエンド暗号化（E2EE）の会議の内容は検査できない［6］。Neatは、E2EEを使う会議室の端末では、更新まではE2EEを有効にしないか、アカウントか部屋の単位で注釈機能を無効にするよう管理者に求めた［6］。
A Securityは、Zoomの既定のenhanced encryptionではサーバー側の除去が働き、E2EEでは外れると説明した［16］。E2EEの設定を使う7.1.5と7.0.6より前のZoom Workplaceクライアントはなお脆弱で、全クライアントの更新まではE2EEの設定を無効にできる［16］。
A Securityは参加の制限として、待機室、パスコード、認証済みの利用者だけの参加、個人会議IDを公開しないことを挙げた［16］。注釈、ファイル転送、ホワイトボード、遠隔操作、他社アプリのロックと、画面共有のホストへの限定も勧めた［16］。ブラウザ版のクライアントには、注釈もホワイトボードも無い［16］。
Zoomのサポート記事によると、注釈機能はWebポータルでアカウント・グループ・利用者の単位で有効・無効にでき、画面を共有している人だけが注釈できる設定もある［22］。
香港中文大学のIT部門は、全利用者にZoomを最新版へ速やかに更新するよう強く求めた［7］。窓の杜は、Windows版はプロフィールアイコンの「更新をチェック」で最新版を確かめて更新できると報じた［21］。
未公表の事項
- Zoomによる技術的な詳細の説明
- 影響を受けた利用者と端末の数
- Zoom自身によるサーバー側の緩和策の開始日と内容の説明
- ZSB-26015と26016の初版に記したZoom Workplaceの版
- A Securityが使ったAIモデルの名前と版
注
出典
当事者
- ［1］Zoom Communications, Inc.『ZSB-26015 Zoom Clients - Buffer Over-write』（2026年8月11日公開、2026年8月14日更新）
- ［2］Zoom Communications, Inc.『ZSB-26016 Zoom Clients - Buffer Over-read』（2026年8月11日公開、2026年8月14日更新）
- ［3］Zoom Communications, Inc.『ZSB-26017 Zoom Clients - Use After Free』（2026年8月11日公開、2026年8月14日更新）
- ［4］Zoom Communications, Inc.『ZSB-26018 Zoom VDI - Path Traversal』（2026年8月11日公開）
- ［5］Zoom Communications, Inc.『Release notes for the Zoom Workplace app』（2026年6月22日公開）
関係組織
- ［6］Neat『Security Advisory - August, 2026: Critical Vulnerabilities in Zoom Software Running on Neat Devices』（2026年8月13日公開、2026年8月19日更新）
- ［7］CUHK Information Technology Services Centre『Zoom Security Alert: Update to the latest version required to safeguard devices』（公開日不明、2026年11月7日閲覧）
公的機関
- ［8］CVE Program『CVE-2026-53413』（2026年8月11日公開）
- ［9］CVE Program『CVE-2026-53414』（2026年8月11日公開）
- ［10］CVE Program『CVE-2026-53415』（2026年8月11日公開）
- ［11］CVE Program『CVE-2026-53416』（2026年8月11日公開）
- ［12］National Institute of Standards and Technology『NVD CVE API: CVE-2026-53413』（2026年8月11日公開）
- ［13］Center for Internet Security, Inc.『A Vulnerability in Zoom Clients Could Allow for Remote Code Execution』（2026年8月12日公開）
- ［14］Hong Kong Computer Emergency Response Team Coordination Centre『Zoom Products Multiple Vulnerabilities』（2026年8月12日公開）
- ［15］Cyber Security Agency of Singapore『Multiple Vulnerabilities in Zoom Products』（2026年8月20日公開）
調査・観測
- ［16］A Security『ZOOMSDAY: How A Security Found a Nation-State Vulnerability in Zoom in One Day』（2026年8月11日公開）
- ［17］Orca Security『Zoom Zero-Click RCE Flaws Allow Any Meeting Attendee to Compromise All Participants』（2026年8月12日公開）
報道機関
- ［18］The Hacker News『Zoom Annotation Flaws Could Let a Meeting Participant Hijack Another Attendee's Client』（2026年8月11日公開）
- ［19］Wired Business Media『Zoom Patches Zero-Click Code Execution Vulnerability』（2026年8月11日公開）
- ［20］Decrypt Media, Inc.『Zoomsday: AI Used to Build Critical Zoom Exploit in One Day』（2026年8月12日公開）
- ［21］株式会社インプレス『Zoom製品に複数の脆弱性 ～リモートコード実行やサービス拒否攻撃などの恐れ』（2026年8月13日公開）
背景資料
- ［22］Zoom Communications, Inc.『Enabling or disabling annotation tools for meetings』（公開日不明、2026年11月7日閲覧）
更新記録
- 2026年8月16日：公開した。
- 2026年8月19日：Neatのadvisoryの8月19日の更新（出典6）で示されたStable Channelへの修正版の配布を「時系列」に加えた。
- 2026年8月20日：シンガポールのCyber Security Agencyの警報AL-2026-108（出典15）を加え、「悪用の状況」を改めた。