Zoom Windows版脆弱性CVE公表、バージョン7.1.8へ今すぐアップデートを

公開日：2026年11月13日文：クリスタルメソッド編集部監修：河合継（代表取締役）

Zoom Windows版に重大脆弱性——2026年11月10日、2件同時公表

2026年11月10日、Zoom Video Communicationsは同社公式セキュリティ情報（ZSB-26023・ZSB-26024）にて、Windows版Zoom Workplaceに存在する2件の脆弱性を公表した（情報源：rocket-boys.co.jp、pasqualepillitteri.it）。

1件目のCVE-2026-108186は深刻度Criticalに分類され、CVSS v3.1スコアは9.6。不適切な入力検証（CWE-20）に起因し、バージョン7.1.0以上7.1.8未満が影響を受ける。攻撃はネットワーク経由・認証不要で可能であり、ユーザーの何らかの操作を起点に権限昇格が発生しうる。機密性・完全性・可用性のすべてに高影響と評価されており、発見者はZoom社内のOffensive Securityチームである（情報源：rocket-boys.co.jp、pasqualepillitteri.it）。

2件目のCVE-2026-108187は深刻度Highで、CVSS v3.1スコアは8.1。送信元検証エラー（CWE-346）に起因し、バージョン7.1.5未満が対象。認証不要かつネットワーク経由での権限昇格が可能で、機密性・完全性に高影響を及ぼす。発見者は外部研究者のshmoul氏である（情報源：rocket-boys.co.jp）。

両脆弱性とも、現時点で実際の悪用（エクスプロイト）は確認されていないと報告されている（情報源：cyber.spool.co.jp）。

図：CVE-2026-108186（Critical・CVSS 9.6）とCVE-2026-108187（High・CVSS 8.1）の攻撃条件・影響範囲の比較。機密性・完全性・可用性の影響度を色別に示す。バージョン7.1.8以降への更新により両脆弱性が同時に解消される。

この脆弱性が企業にとって何を意味するか

CVSSスコア9.6という数値は、業界的に「直ちに対応すべき」ラインとして広く認識される最上位圏に位置する。認証不要・ネットワーク越しに攻撃が成立しうるという条件は、標的型攻撃だけでなく自動化されたスキャンや無差別攻撃によっても悪用の余地が生じることを意味する。

「ユーザー操作が必要」という条件は、一見すると攻撃の難易度を引き上げるように見える。しかし業務上で日常的にZoomの会議招待リンクをクリックする行動パターンが定着している職場環境では、この条件が実質的なハードルにならない可能性がある。フィッシングメールや偽のカレンダー招待を経由した誘導は、企業環境で頻発する手口であり、「操作が必要＝安全」とは読み替えられない。

今回は、脆弱性がZoom社の内部セキュリティチームと外部研究者によって発見されており、公表前に修正版（7.1.8）がすでに提供されている。パッチが存在しないゼロデイとは性格が異なり、現時点での悪用未確認という報告（情報源：cyber.spool.co.jp）も踏まえると、落ち着いて、ただし迅速に対処すべき状況といえる。

問題の本質は「脆弱性の存在」よりも「パッチが組織全体に行き渡るまでのタイムラグ」にある。個人が使うSaaSアプリケーションとして認識されているZoomは、パッチ管理の正式な対象から外れているIT部門も少なくないと考えられる。今回の公表は、その運用上の死角を再点検する契機として受け止めるべきである。

次に読む：AIハッキングによる主な情報漏洩の被害一覧は？

AIハッキングで情報漏洩が相次ぐ？日本・世界の主な被害一覧【2026年7〜11月】

Zoom Windows版アップデート——企業IT担当者が確認すべき事項

個人利用環境では、Zoom起動時の自動更新が機能することが多い。しかし企業が一括管理するMSIパッケージ配布環境では自動更新が無効化されているケースがあり、エンドユーザーが気づかないままバージョンが据え置かれる可能性がある（情報源：rocket-boys.co.jp）。以下に、企業IT担当者が今回の対応として確認すべき事項を整理する。

企業IT担当者の確認・対応チェックリスト
確認項目	確認方法・対応	優先度
現在のZoomバージョンの棚卸し	MDMまたはソフトウェア管理ツールで社内全Windowsデバイスのバージョンを確認	最優先
MSI配布環境の自動更新設定	自動更新が無効の場合はIT部門による手動配布・強制更新が必要	最優先
7.1.8以降へのアップデート完了確認	Zoom公式サイトから最新MSIパッケージを取得し配布。バージョン7.1.8以降で両CVEが解消	最優先
影響範囲の特定（OS種別の確認）	今回の対象はWindows版のみ。macOS・iOS・Android版は対象外	確認推奨
悪用の監視体制整備	現時点で悪用未確認だが、SIEMや脅威インテリジェンスフィードでCVE番号を監視対象に追加	推奨
社内周知と更新完了報告	手動更新が必要な環境では、ユーザーへの告知と更新完了報告フローを整備	推奨

バージョンの確認方法は単純で、Zoom画面上部のメニューから「ヘルプ」→「Zoomについて」を開くと現在インストールされているバージョン番号が表示される。7.1.8未満であれば、同画面から更新を実行するか、管理者によるパッケージ再配布を待つ必要がある。

対応を急ぐ理由と、過小評価しやすいリスクの構造

「悪用が確認されていない今のうちに対応する」という姿勢が、公表済みCVEに対して最も合理的である。CVEが公開された時点で、脆弱性の詳細は攻撃者にも知られる状態になる。パッチが存在することと、組織内のすべての端末にパッチが当たっていることは別の話であり、その間隙が攻撃者にとっての機会となる。

日本企業においては、ZoomをEPM（エンドポイント管理）やUEM（統合エンドポイント管理）の対象に含めていないケースが一定数存在すると考えられる。Web会議ツールはブラウザと同様に「ユーザーが自分で管理するもの」として扱われがちで、OSやオフィスソフトと比べてパッチ適用の優先度が落ちやすい傾向がある。今回のCVSS 9.6という水準は、そうした慣行の見直しを迫るものといえる。

一方で冷静に受け止めるべき点もある。「Critical」という分類は深刻度の高さを示すが、実際の攻撃成立にはユーザーの操作が必要であり、パッチ適用前であっても不審な招待リンクを開かないという基本的な行動規範が一定の抑止力になる。ただしこれは恒久的な対策にはなり得ず、更新完了までの暫定的な姿勢として理解すべきである。

macOS版、iOS版、Android版のZoom Workplaceは今回の脆弱性の対象外である。Windows端末のみが対象であることを確認したうえで影響範囲を正確に把握することが、無用な混乱を避けることにもつながる。

Zoom社のセキュリティ情報（ZSB-26023・ZSB-26024）は同社公式のセキュリティページで参照可能であり、今後の追加情報もそこで発信されるとみられる。企業のIT・セキュリティ担当者は定期的に同ページを確認する体制を整えておくことが望ましい。

企業のIT統制やセキュリティ管理の体制づくりに関心があれば、クリスタルメソッドブログでも継続的に情報を発信している。

参考文献

rocket-boys.co.jp — Windows版Zoomの脆弱性情報（ZSB-26023/ZSB-26024、CVE-2026-108186・CVE-2026-108187）: https://rocket-boys.co.jp
pasqualepillitteri.it — Zoom Security Bulletinの一次解説（ZSB-26023・ZSB-26024）: https://pasqualepillitteri.it
cyber.spool.co.jp — 脆弱性悪用未確認の報告・対応状況: https://cyber.spool.co.jp