Zoom Workplace の情報漏えいの脆弱性 CVE-2026-108185：Windows／macOS／Linux／Android／iOS に影響

Zoom Certificate Validation Vulnerability Allows Attackers to Access Sensitive Information

2026/10/14 gbhackers — Zoom が公表したのは、複数の Zoom Workplace クライアントに影響を及ぼす、My Notes 機能における高深刻度の脆弱性 CVE-2026-108185 に関する情報である。この脆弱性がネットワーク経由で悪用された場合、未認証の攻撃者によって、機密情報が漏えいする可能性がある。2026年10月13日に公開されたセキュリティ情報「ZSB-26022」では、Windows／macOS／Linux／Android／iOS の各プラットフォーム上の影響を受けるバージョンが示され、修正済みソフトウェアへの更新が推奨されている。

Zoom Workplace の証明書検証に脆弱性 CVE-2026-108185

CVE-2026-108185 の CVSS v3.1 スコアは 7.4 (深刻度：High) と評価されており、CVSS ベクターは以下のとおりである。

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

この評価では、ネットワーク経由での攻撃が可能であるが、攻撃条件の複雑さは高く、認証やユーザー操作は必要ないとされている。また、機密性と完全性への影響は高く、可用性への影響はないと評価されている。ただし、Zoom が具体的な影響として明示しているのは情報漏えいであり、完全性への影響に関する攻撃シナリオは示されていない。

My Notes 機能の証明書検証に不備

脆弱性の根本的な原因は、Zoom Workplace の My Notes 機能における不適切な証明書検証にあるが、以下の技術的な詳細は明らかにされていない。

  • 問題がある証明書検証処理の詳細
  • 影響を受ける通信接続
  • 攻撃成立に必要なネットワーク条件

そのため、今回のセキュリティ情報から具体的な攻撃手順や成立条件を特定することは不可能であり、すべての会議の傍受／アカウント認証情報の取得／端末全体の侵害が発生するとは、Zoom も説明していない。

現時点では、My Notes 機能を通じた情報漏えいの可能性と、CVSS に示された影響を区別して評価する必要がある。

Windows／macOS／Linux／Android／iOS への影響

脆弱性 CVE-2026-108185 は、Windows／macOS／Linux／Android／iOS 向けの Zoom Workplace に影響するが、影響を受けるバージョンと修正済みバージョンは、プラットフォームとリリース系列によって異なる。公開された情報に基づく影響範囲は以下のとおりである。

プラットフォーム影響を受けるバージョン修正済みバージョン
Windows7.1.5 以降で、各系列の修正済みバージョンより前7.1.9／7.2.0
macOS7.0.5 以降で、各系列の修正済みバージョンより前7.1.9／7.2.0
Linux7.0.5 以降で、各系列の修正済みバージョンより前7.1.9／7.2.0
Android7.0.5 以上、7.2.0 未満7.2.0
iOS7.0.5 以上、7.2.0 未満7.2.0

Windows 版では 7.1.5 以降が影響を受け、該当するリリース系列における 7.1.9／7.2.0 が修正バージョンとなる。一方、macOS 版と Linux 版では 7.0.5 以降が影響を受け、7.1.9／7.2.0 が修正バージョンとなる。

このように、デスクトップ向け Zoom Workplace は単一のバージョン番号だけで影響の有無を一律に判断できない。管理者にとって必要なことは、インストールされている各クライアントのバージョンとリリース系列を確認し、該当する修正済みバージョンと照合することである。

モバイル版への影響と Zoom Rooms などの未記載

Android／iOS 版の Zoom Workplace では、7.0.5 以上 7.2.0 未満のバージョンが影響を受け、両プラットフォームとも 7.2.0 が修正済みバージョンの境界として指定されている。今回の脆弱性は 5 つの OS にまたがっているため、組織はデスクトップ端末だけではなく、業務で利用しているスマートフォンやタブレットの Zoom Workplace についても確認する必要がある。

なお、公開されたセキュリティ情報では、Zoom Rooms／ブラウザー経由での利用などについては、影響が生じるとは記載されていない。ただし、記載がないことだけをもって、これらの製品に関するセキュリティ・リスクが存在しないと判断することはできない。

Zoom 社内での発見と、実際の悪用に関する未確認

Zoom によると、CVE-2026-108185 は、同社の社内セキュリティチームである Zoom Offensive Security より発見された。一方、公開されたセキュリティ情報には、以下の詳細が記載されていない。

  • 脆弱性を悪用する実証コードやデモ
  • 具体的な技術的攻撃手順
  • 実際の攻撃で悪用されたことの確認
  • 漏えいする可能性がある情報の具体的な内容

このため、攻撃の成立条件や、漏えいする情報の種類・機密性を現時点で正確に判断することは難しい。また、CVSS では機密性と完全性への影響が高いと評価されているが、公開されている説明内容だけから、特定のデータや通信が必ず漏えいすると断定することができない。

最新の Zoom Workplace へのアップデートを推奨

影響を受けるユーザーに対して Zoom が推奨するのは、提供されている最新バージョンへの速やかな移行である。企業などで Zoom Workplace を一元管理している場合には、Windows／macOS／Linux／Android／iOS の各プラットフォームにおける、インストール済みクライアントのバージョンを確認する必要がある。特に修正済みバージョンが、リリース系列によって異なるデスクトップ版では、適用すべき更新を正しく判断することが重要である。

管理者にとって必要なことは、Zoom の公式セキュリティ情報に記載されたプラットフォーム別の影響範囲と、修正済みバージョンを確認し、対象クライアントを更新することである。

今回の記事では、Zoom Workplace の My Notes 機能における証明書検証の不備に起因する、脆弱性 CVE-2026-108185 が取り上げられています。背景として、ネットワーク経由の通信において適切な証明書検証が行われないことにより、未認証の攻撃者が関与する情報漏えいのリスクが存在します。影響として、複数のプラットフォームにおける Zoom Workplace クライアントで機密情報が漏えいするおそれがあり、対応策として、各プラットフォームにおける影響範囲を確認した上での修正済みバージョンへの速やかな更新が推奨されます。