Zoom の注釈機能に深刻なゼロクリック脆弱性が判明

セキュリティ機関の A Security は米国時間の2026年8月11日、Zoom の注釈（アノテーション）機能に深刻なゼロクリック脆弱性「Zoomsday」が存在すると発表しました。影響範囲は、Windows や Mac、Linux、モバイル用の iPhone や Android などのデバイスで利用されるバージョン 7.0.5 までの全てが対象とのことです。公表時点では、実際の被害は確認されていませんが、多くの企業が日常的に使うツールであるため、重大な脅威として懸念されています。

手口としては、攻撃者がWeb会議にホストまたは参加者として加わり、悪意のある特殊なメッセージを送り込むというものです。受信側のアプリがデータを自動的に解析して処理する仕様が悪用され、被害者がリンクをクリックするなどの操作を一切しなくても、裏で勝手にプログラムが実行されます。これにより、カメラおよびマイクを遠隔起動されて盗撮および盗聴されたり、機密データの情報漏えいやマルウェアへの感染といった深刻な事態につながったりするとのことです。大規模な会議では、一回の送信で参加者全員のデバイスに対して被害が芋づる式に広がる危険性が指摘されています。

今回の脆弱性は、注釈機能でやりとりされるデータの処理に不備があったことが原因とされています。受信したデータの検証が十分でないため、細工されたメッセージを受け取ると不正な処理が発生する仕組みになっていたとのことです。開発元の Zoom はすでに、問題を修正した最新バージョン（Zoom Workplace 7.1.5 および 7.0.6 など）を公開しており、速やかな適用を呼びかけているとのことです。