2026年11月10日（米国時間）、Web会議サービスを提供するZoom Communicationsは、Windows版 Zoom Workplace に関する2件のセキュリティ脆弱性を公表しました。
今回発見された脆弱性のうち1件は、CVSS v3.1 スコアで 9.6（Critical / クリティカル）という極めて深刻度の高い評価となっています。脆弱性を悪用された場合、ネットワーク経由で認証を受けていない第三者が端末上で権限を昇格できる可能性があります。さらに、同時に公表されたもう1件の脆弱性も CVSS 8.1（High / 高）と評価されており、迅速な対応が求められます。
Zoomは企業のWeb会議やリモートワークだけでなく、オンライン授業、就職活動、個人の面談などでも幅広く利用されています。Windows端末で Zoom Workplace を利用している方は、使用中のバージョンを確認し、速やかに修正済みバージョンへアップデートしてください。
この記事では、公表された2件の脆弱性の概要と影響、対象バージョン、および利用者が今すぐ実施すべきアップデート手順をわかりやすく解説します。
この記事で行うこと
- Windows版
Zoom Workplaceで発見された2件の脆弱性（CVE-2026-108186、CVE-2026-108187）の概要を把握する CVSS 9.6の権限昇格リスクと攻撃条件を理解する- 使用中のバージョンを確認し、修正済みバージョン（
7.1.8以降）へアップデートする - 企業管理下の端末における注意点と確認事項を把握する
前提条件・対象読者
- Windows 10 または Windows 11 のパソコンで
Zoom Workplaceを利用している方 - 社内PCや個人端末のセキュリティ管理を行っている方
- 最終確認日：2026年11月11日（Zoom公式セキュリティアドバイザリに基づく）
1. Zoom Workplaceで発見された2件の脆弱性概要
Zoom社が公表したセキュリティアドバイザリによると、影響を受けるのはWindows版の Zoom Workplace です。公表された脆弱性は以下の2件です。
| 項目 | CVE-2026-108186 | CVE-2026-108187 |
|---|---|---|
| セキュリティ情報番号 | ZSB-26023 | ZSB-26024 |
| 脆弱性の分類 | 不適切な入力検証（CWE-20） | オリジン検証エラー（CWE-346） |
| CVSS v3.1 スコア | 9.6 | 8.1 |
| 深刻度 | Critical（緊急） | High（高） |
| 対象OS | Windows | Windows |
| 公表日 | 2026年11月10日（米国時間） | 2026年11月10日（米国時間） |
2件とも、ネットワーク経由で未認証の攻撃者が権限昇格を実行できる可能性があるセキュリティ欠陥です。
特に CVE-2026-108186 は CVSS 9.6 と非常に危険度が高く評価されています。
なお、今回の公式発表はWindows版が対象です。macOS版やスマートフォン版（iOS / Android）については、今回の2件と同じ脆弱性の影響は報告されていません。
2. CVSS 9.6の重大な脆弱性「CVE-2026-108186」の詳細
最も深刻度が高い CVE-2026-108186（アドバイザリ番号：ZSB-26023）は、不適切な入力検証（Improper Input Validation）に分類される脆弱性です。
アプリケーションが外部から受け取るデータに対して適切なチェックを行わないため、悪意あるデータを受け取った際に意図しない動作を引き起こすおそれがあります。
CVSS 9.6の評価パラメーター
CVSS v3.1 の基本評価ベクトルは以下の通りです。
| 評価項目 | 評価値 | 内容 |
|---|---|---|
| 攻撃元区分（AV） | Network | ネットワーク経由で外部から攻撃可能 |
| 攻撃条件の複雑さ（AC） | Low | 攻撃の難易度が低く成立しやすい |
| 必要な特権（PR） | None | 事前のログインや認証権限が不要 |
| ユーザー関与（UI） | Required | 悪用リンクのクリックなど一定の操作が必要 |
| スコープ（S） | Changed | 脆弱なアプリを超えて他のシステム領域に影響 |
| 機密性への影響（C） | High | 端末内の機密情報漏洩リスクが高い |
| 完全性への影響（I） | High | システムやデータの改ざんリスクが高い |
| 可用性への影響（A） | High | サービス停止やシステム破壊のリスクが高い |
特に注意すべき点は、必要な特権が「None（不要）」と評価されている点です。攻撃者がZoomアカウントを持っていなくても、またPCのログイン権限がなくても、ネットワーク越しに攻撃を試みることが可能です。
ただし、ユーザー関与が「Required（要）」とされているため、悪意あるURLをクリックさせるなど、ユーザーの操作をトリガーにして成立する攻撃形態であると考えられます。
権限昇格（Escalation of Privilege）のリスク
権限昇格とは、一般ユーザーの権限で動作しているプロセスが、システム管理者（Administrator）や上位権限へと制限を引き上げてしまう現象を指します。
Windows環境で権限昇格が成功した場合、以下のような二次被害へ発展するリスクがあります。
- システム設定の不正変更やセキュリティ機能の無効化
- パソコン内に保存されたファイルや認証情報の閲覧・窃取
- 外部からのマルウェアやバックドアの無断インストール
Zoomの公式発表では悪用手順の詳細までは公開されていませんが、潜在的な影響度が極めて大きいため CVSS 9.6 と判定されています。
3. CVSS 8.1の脆弱性「CVE-2026-108187」の詳細
同時に発表された CVE-2026-108187（アドバイザリ番号：ZSB-26024）は、オリジン検証エラー（Origin Validation Error）に分類される脆弱性です。
リクエストの送信元（オリジン）が正当なものかを判別する処理に不備があり、不正な送信元からの要求を受け入れてしまうリスクがあります。
こちらもネットワーク経由で未認証の第三者が権限昇格を実行できる可能性があり、深刻度は CVSS 8.1（High）と警戒すべきレベルです。
CVSS 8.1の評価パラメーター
| 評価項目 | 評価値 | 内容 |
|---|---|---|
| 攻撃元区分（AV） | Network | ネットワーク経由で攻撃可能 |
| 攻撃条件の複雑さ（AC） | Low | 攻撃条件の難易度は低い |
| 必要な特権（PR） | None | 事前の認証や特権は不要 |
| ユーザー関与（UI） | Required | ユーザー操作が必要 |
| スコープ（S） | Unchanged | 影響範囲はアプリコンポーネント内にとどまる |
| 機密性への影響（C） | High | 機密データ漏洩の危険あり |
| 完全性への影響（I） | High | データ改ざんの危険あり |
| 可用性への影響（A） | None | サービス利用可能性への直接影響はなし |
スコープが Unchanged である点が CVE-2026-108186 と異なりますが、認証不要で悪用できる点は共通しており、確実な対処が不可欠です。
4. 影響を受けるZoomの対象バージョン一覧
今回の脆弱性が影響するバージョンと、修正済みのバージョン基準は以下の通りです。
| 脆弱性番号 | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| CVE-2026-108186 | 7.1.0 以上、7.1.8 未満 | 7.1.8 以降 |
| CVE-2026-108187 | 7.1.5 未満 | 7.1.5 以降 |
2件の脆弱性を両方とも解消するには、Windows版 Zoom Workplace をバージョン 7.1.8 以降に更新する必要があります。
5. Zoom Workplace利用者が実施すべき対策手順
WindowsパソコンでZoomを利用している場合は、以下の手順に沿って直ちにバージョン確認とアップデートを実施してください。
手順1：現在のバージョンを確認する
まずは現在インストールされているZoomのバージョンを確認します。
Zoom Workplaceアプリを起動します。- 画面右上にある自分のプロフィールアイコンをクリックします。
- メニューから「ヘルプ」を選択します。
- 「Zoomについて」をクリックします。
- 画面中央に表示されるバージョン番号を確認します。
バージョンが 7.1.0 以上かつ 7.1.8 未満の場合は CVE-2026-108186 の影響を受けます。また 7.1.5 未満の場合は2件両方の影響を受けます。
手順2：Zoom Workplaceを最新版へ更新する
アプリ内の自動更新機能を利用して、最新バージョンを取得します。
Zoom Workplaceを起動し、右上のプロフィールアイコンをクリックします。- メニューから「更新の確認」をクリックします。
- 新しいバージョンが見つかったら「更新」または「インストール」をクリックします。
- インストール完了後、再度「Zoomについて」を開き、バージョンが
7.1.8以降になっていることを確認します。
「更新の確認」が表示されない場合やエラーで更新できない場合は、公式サイトから最新のインストーラーをダウンロードして上書きインストールしてください。
https://zoom.us/download
非公式の配布サイトや検索広告経由の偽ダウンロードサイトは、マルウェア感染の原因となるため絶対に避け、必ずZoom公式ドメインから入手してください。
手順3：企業の管理端末での確認ポイント
会社のパソコンでZoomを利用している場合は、以下の点に配慮してください。
- 一般社員のアカウントに管理者権限がない場合、手動更新がブロックされることがあります。
- システム管理部門が一括配信ツール（Microsoft IntuneやWSUS等）でバージョン管理している場合は、社内アナウンスや配布スケジュールを確認してください。
- アップデートが完了するまでの間は、社外や見知らぬ相手から送られてきた不審なミーティング参加リンクを安易に開かないよう注意してください。
6. 情報漏洩や攻撃事例の発生状況について
今回の脆弱性発表に伴い、「過去の会議内容や個人情報がすでに漏洩しているのではないか」と不安に感じる方もいるかもしれません。
結論として、現時点でこの脆弱性を悪用した実際のサイバー攻撃や情報漏洩被害は報告されていません。
Zoom社によるセキュリティ情報の公開は、問題が顕在化して被害が出る前に修正パッチを提供するための予防的アナウンスです。また、Zoomのクラウドサーバー自体が不正アクセスを受けたわけではなく、Windowsクライアントアプリ側のコードに起因する問題です。
ただし、脆弱性の詳細が公表された後は、攻撃者が修正内容をリバースエンジニアリングして悪用コードを作成するリスクが高まります。被害が確認されていない今のうちに、速やかにアップデートを完了させておくことが何より重要です。
7. よくある質問（FAQ）
Q1. MacやiPhoneでZoomを使っていますがアップデートは必要ですか？
今回の CVE-2026-108186 および CVE-2026-108187 は、Windows版 Zoom Workplace に固有の脆弱性として公表されています。macOS版やiOS / Android版は今回の影響対象には含まれていません。ただし、他のセキュリティ修正が含まれる場合があるため、普段からアプリを最新状態に保つことが推奨されます。
Q2. ブラウザ版のZoom（Webクライアント）を使っている場合も影響しますか？
ブラウザ版のZoomは今回のデスクトップアプリ固有のコードを含まないため、本脆弱性の直接の影響は受けません。デスクトップアプリの更新がすぐにできない緊急の会議では、一時的にブラウザ版を利用することも有効な回避策の一つです。
Q3. 自動更新をオンにしていれば放置しても大丈夫ですか？
Zoomには自動更新機能がありますが、バックグラウンドでの適用タイミングにはタイムラグが生じることがあります。今回のように CVSS 9.6 の緊急性が高い脆弱性では、自動更新を待たずに「更新の確認」から手動で即時アップデートを実行することをおすすめします。
まとめ
Windows版 Zoom Workplace で発見された2件の脆弱性について、要点を整理します。
CVE-2026-108186：CVSS 9.6（Critical）、不適切な入力検証による権限昇格CVE-2026-108187：CVSS 8.1（High）、オリジン検証エラーによる権限昇格- 影響範囲：Windows版
Zoom Workplace（バージョン7.1.8未満） - 対策：バージョン
7.1.8以降へ速やかにアップデートを実施する - 現状：実際の情報漏洩被害や攻撃事例は確認されていない
Zoomは業務からプライベートまで日常的に使う重要ツールだからこそ、ソフトウェアの更新を怠らないことが最大の防御になります。Windowsをご利用中の方は、今すぐバージョンの確認と更新を行ってください。
次に読むおすすめ記事
Windows PCや主要サービスのセキュリティ対策を総合的に見直したい方は、以下の完全ガイドもあわせて参考にしてください。
参考情報
- Zoom Security Bulletin ZSB-26023（CVE-2026-108186）：https://www.zoom.com/en/trust/security-bulletin/zsb-26023/
- Zoom Security Bulletin ZSB-26024（CVE-2026-108187）：https://www.zoom.com/en/trust/security-bulletin/zsb-26024/
- Zoom公式 ダウンロードセンター：https://zoom.us/download
- Security NEXT 報道記事：https://www.security-next.com/192629
- ロケットボーイズ セキュリティ対策ラボ 解説記事：https://rocket-boys.co.jp/security-measures-lab/zoom-workplace-windows-cve-2026-108186/
