Zoomは2026年11月10日、Windows版の「Zoom Workplace」に関する2件の脆弱性を公表しました。会社のWindowsパソコンでZoomを使っている場合は、アプリのバージョンを確認し、7.1.8以降の最新版へ更新してください。 会社が一括管理している端末では、情報システム担当者に更新状況を確認します。
注意したいのは、7.1.5まで更新していても、今回の2件を両方解消したことにはならない点です。影響するバージョンが異なるためです。
7.1.5で対処できる問題と、7.1.8が必要な問題
今回の対象として挙げられているのは、Windows版のZoom Workplaceです。Mac版、スマートフォン版、ブラウザでの利用まで一律に影響すると発表されたものではありません。
| 識別番号 | 影響するWindows版 | 公式の深刻度 |
|---|---|---|
| CVE-2026-108186 | 7.1.0以上、7.1.8未満 | Critical、CVSS 9.6 |
| CVE-2026-108187 | 7.1.5未満 | High、CVSS 8.1 |
出典：Zoom ZSB-26023、Zoom ZSB-26024
例えば7.1.6を使っている端末では、108187の対象からは外れていても、108186には該当します。「少し前に更新したから大丈夫」と判断せず、実際に入っている番号を確認することが大切です。
認証なしの攻撃が可能。ただし利用者の操作が条件
Zoomは、いずれもネットワーク経由で、認証していない攻撃者が権限を昇格させる可能性があると説明しています。権限昇格とは、本来認められていない操作までできる状態になることです。
一方、両方のCVSS評価には「利用者の操作が必要」という条件が含まれています。「会議に参加するだけで必ず攻撃される」「受信するだけで感染する」といった説明は、今回の発表からはできません。 どの操作が必要かという具体的な手順も公表されていません。
11月11日に確認した2件の公式告知には、実際の悪用を確認したとの記載はありません。ただし、被害の報告を待ってから更新する必要はなく、対象端末を早めに確認するのが現実的です。
自分で更新できる端末と、会社管理の端末で対応を分ける
自分でアプリを管理している場合
Zoomの公式案内では、デスクトップアプリにサインインし、プロフィール画像から「Check for Updates（更新の確認）」を選ぶ方法が示されています。更新を適用した後はアプリを開き直し、表示されるバージョンが7.1.8以降になったことを確認しましょう。
メールやチャットに届いた更新ファイルではなく、アプリ内の更新機能、またはZoomの公式ダウンロードセンターを利用してください。会議直前ではなく、更新後に音声・カメラを確認できる時間を確保すると業務への影響を抑えられます。
「更新の確認」が見当たらない場合
メニューがないことは、最新版である証拠にはなりません。Zoomは、管理用のMSIインストーラーで導入した場合、更新機能が管理者の設定に左右されると説明しています。
会社管理のパソコンでは、自己判断で別のインストーラーを入れ直すより、担当者に次の内容を渡してください。
- Windows版Zoomの現在のバージョン
- 今回の2件への対処として、7.1.8以降への配布が必要なこと
- 更新が完了する予定と、利用者側に必要な操作
社内では「案内した」から「更新できた」まで確認する
複数の端末がある会社では、全員への更新依頼だけで終わらせず、対象端末と完了状況を確認しておくと対応漏れを減らせます。普段はZoomを使わず、取引先との会議のときだけ起動する端末も確認対象に含めるとよいでしょう。
管理担当者は、対象のWindows端末、更新後のバージョン、完了日、未更新の理由を整理します。更新できない端末があれば、そのまま放置せず、更新予定と当面の利用方法を担当者間で決めておくことが重要です。
本記事は2026年11月11日時点の公式情報に基づきます。具体的な攻撃操作や悪用状況について新しい説明が出た場合は、Zoomの告知も確認してください。