Zoom Flaw Exploited with Only 20 Prompts in Less Than 24 Hours
2026/08/11 SecurityBoulevard — Zoom の脆弱性を悪用する攻撃者は、任意のミーティングのホストや参加により、参加者のデバイスを制御する可能性がある。それにより、データの窃取／マイクやカメラを介した被害者の監視／悪意のあるコードの展開などが可能になる。この脆弱性が一度悪用されると、多数の参加者がいる Zoom ミーティングでは、それぞれの参加者が被害者になり得るため、攻撃者が多数の標的が存在する環境に潜り込むことになる。A Security の上級脆弱性研究員である Idan Levcovich は、この脆弱性を “Zoomsday” と命名した。
この脆弱性は危険なものである。高度な AI ツールを用いる脅威アクターにとって、セキュリティ上の欠陥の発見だけではなく、発見した欠陥の悪用まで容易になる点に注目すべきだと、Idan Levcovich のレポートに記されている。彼は、「このようなエクスプロイトは、現実の世界における武器と同等の破壊力を有する。周知のとおり、各国の政府は武器の輸出を規制し、犯罪組織は数百万ドルを支払う。これまで、この種のエクスプロイトの入手には、国家レベルのインフラ／エリート・チーム／数カ月の作業が必要だったが、その障壁は消滅した」と述べている。
Idan Levcovich によると、このエクスプロイトを開発するために A Security のエンジニアが必要としたのは、一般公開されている AI モデルに対する 20 回足らずのプロンプトと、24 時間にも満たない時間だけである。過去であれば、国家レベルの攻撃者が数カ月にわたって作業し、数百万ドルを費やす必要があったと、彼は付け加えている。
防御側に求められる新たな対応期間
Huntress のサイバーセキュリティ・アドバイザー Bryson Byrd によると、ベンダーに対しては新たな対応期間が求められている。彼は、「以前から、それぞれのベンダーは、脆弱性の発見を真剣に受け止めるべきだったが、いまでは時計の進み方が変わっている。攻撃者が欠陥を発見し、実際に機能する攻撃を迅速に構築できるのであれば、攻撃者が悪用するのと同じ AI ツールを、ベンダーも導入する必要がある。AI ツールに人間によるノウハウを組み合わせ、これまで以上に迅速に修正を提供する必要がある」と述べている。
Zoom は今週、4 件の脆弱性に対する修正を公開し、そのうちの 3 件を深刻度 High、残る 1 件を Medium と評価している。また、A Security のエンジニアが注目した、脆弱性 CVE-2026-53413 の詳細も公開している。このバッファ上書きの欠陥を悪用する Zoom ミーティング参加者は、ネットワークを介して他の参加者に対するリモート・コード実行 (RCE) を達成できる。
直接チャネルの開通
この欠陥はメモリ破損の脆弱性であり、公開ドキュメントの存在しない非公開のコード上に構築された Zoom の注釈機能の悪用を許す。特別に細工したメッセージを送信する攻撃者は、参加者のメモリを標的としてコード実行を達成する可能性があり、そこで悪用される Zoom プロトコルにより、メッセージの送信者と閲覧者との間に直接的な通信経路が確立する。
サポート対象プラットフォーム上で、Zoom Workplace バージョン 7.1.5 未満 (7.1.x系)／7.0.6 未満 (7.0.x系)、Workplace VDI Client for Windows バージョン 7.0.11 未満 (7.0.x系)／6.6.16 未満 (6.6.x系)、Zoom Rooms バージョン 7.1.0 未満、Zoom Meeting SDK バージョン 7.1.0 未満を実行しているクライアントが、この脆弱性の影響を受ける。すでに Zoom は、Workplace バージョン 7.1.5／7.0.6、Workplace VDI Client for Windows バージョン 7.0.11／6.6.16、Rooms バージョン 7.1.0、Meeting SDK バージョン 7.1.0 をリリースし、この問題に対処している。
Idan Levcovich は、「通話に参加している誰かが書いた、たった 1 つの悪意の注釈を突くだけで、その場にいるユーザーのデバイスを乗っ取ることが可能になる。このセキュリティ上の欠陥は、Windows／macOS／iOS／Android を実行するクライアント向けの Zoom Workplace アプリに存在する」と指摘している。
Zoom の事例が示す進化
Zoom は Fortune 100 企業の 70％および Fortune 500 企業の大半で使用されているほか、連邦政府機関／医師／弁護士などと機密性の高い議論を行う個人にも利用されている。今回の発見を踏まえ、セキュリティ・チームは注意を払う必要があると、A Security は述べている。
また、敵対者による新たな戦術により、セキュリティ・チームの業務が変化していることへの理解も求められている。Capture-the-Flag の課題やバグ・バウンティ・プログラムは機能してきたが、いずれも、明確なルールと対象範囲が定められた、標的に対するオープンで管理された環境で機能してきたものである。その一方で、Zoom はクローズド・ソースであり、公開プロトコルもないため十分に保護されていると、防御側は想定してきた。
修正策は新しいものではない
Huntress の Bryson Byrd によると、この状況には悪いニュースと良いニュースがあり、悪いニュースは、AI ツールを使用する攻撃者にとって、こうした欠陥の発見と悪用に必要な技術的能力と時間が大幅に低下したことである。しかも、これらのツールは誰でも利用できる。
一方、良いニュースは、修正策そのものは新しいものではないことである。彼は、「ソフトウェアを最新状態に維持することが必要なのは、かなり以前から分かっている。そこに含まれるものには、購入して信頼しているソフトウェアを経由する攻撃への対策もある。今回起きたのは、まさにそれである」と指摘している。
A Security の Idan Levcovich は、AI により状況が変化したと述べており、かつて数カ月を要した作業が、いまでは数時間で完了し、ごく僅かなコストしか必要としないと指摘している。
彼は、「セキュリティ・リーダーが考慮に入れる必要があるのは、この変化である。こうした武器を希少なものにしていた障壁は崩壊し、元には戻らない。すでに攻撃者たちは、この能力を手にしている。残されている唯一の問いは、攻撃者に先行して防御側が、露出している箇所へ到達できるかどうかである。持続可能な対応策は、同じ攻撃能力を自らの内側へ向け、他者に先を越される前に、自分たちの環境に対して継続的にその能力を用いることである」と締め括っている。
Zoom におけるメモリ破損によるリモートコード実行 (RCE)／特別に細工された注釈メッセージ受信時の不正動作／参加者デバイスの完全制御／マルウェア展開などを修正するための、最新版へのアップデートが求められています。生成 AI の発展により攻撃コード作成の手間が大幅に低下したことで、攻撃対象領域の拡大と被害の深刻化が懸念されます。影響を受ける製品は Zoom Workplace (バージョン 7.0.6～7.1.5) や Zoom Rooms などであり、関連する脆弱性は CVE-2026-53413 です。従来は高度な技術が必要だったエクスプロイト開発が、AI への指示のみで短時間かつ容易に可能となりました。防御側にとっても迅速な修正プログラム適用などの継続的なセキュリティ対策が重要になります。
IoT OT Security News 
You must be logged in to post a comment.