Zoom脆弱性3件（CVE-2026-30904/30905/30906）とは｜深刻度・影響製品・修正版と対処法【2026年5月】

2026年5月12日、Zoomはセキュリティ速報（Security Bulletin）ZSB-26006〜ZSB-26008で3件の脆弱性を同時公開しました。最大深刻度は4段階中2番目の「High」（CVSS 7.8）です。ただし3件はいずれもローカルまたは物理アクセスを前提とするインストーラの権限昇格・情報開示で、ネット越しに会議を乗っ取られたり遠隔でPCを操作されたりする種類のものではありません。対応は該当製品を修正版へ更新するだけで完結します。悪用の報告は公開時点でありません。

まとめ：3件の要点と今やること

• 該当する人：Windowsで Zoom Rooms または Zoom Workplace VDIプラグイン を使う環境、iOSのZoom Workplaceを使う端末。一般的なWindows/Mac版Zoomクライアント単体の利用者は3件の直接対象ではありません。
• やること：Zoom Rooms for Windowsは 7.0.0 以上、VDIプラグインは 6.6.11 以上、iOS版は 7.0.0 以上へ更新する。これが唯一かつ十分な対応です。
• 慌てなくてよい理由：3件とも攻撃には対象端末へのローカル権限（またはiOSは端末の物理所持）が必要で、リモート単独では成立しません。とはいえHigh 2件は権限昇格につながるため、放置せず定例更新に含めます。

3件のCVE一覧：影響製品・深刻度・修正版

まず「どの製品を、どのバージョン以上に上げれば解消するか」を1枚で把握します。Zoomが速報で公表した内容は次のとおりです。

Windows向け2件（CVE-2026-30905／CVE-2026-30906）は研究者 sim0nsecurity 氏、iOS向け1件（CVE-2026-30904）は errorsec_ 氏の報告によるものです。いずれも修正版が同日リリースされており、非公開での修正完了後に情報が公開される調整済み開示（coordinated disclosure）のプロセスが取られました。原文はZoom公式のセキュリティ速報（ZSB-26006〜26008）で確認できます。

CVE-2026-30906（Zoom Rooms for Windows）

会議室端末向けの Zoom Rooms インストーラに、信頼できない検索パス（CWE-426）の問題があります。認証済みのローカル利用者がインストール時にDLL等を差し替えることで権限を昇格できる可能性があります。7.0.0 で修正されました。会議室に据え置いた共有端末が主な影響対象です。

CVE-2026-30905（Zoom Workplace VDIプラグイン）

VDI（仮想デスクトップ）環境でZoomの音声・映像処理をローカルへオフロードする「VDIプラグイン」のWindowsインストーラに、ファイル名・パスの外部制御（CWE-73）の問題があります。認証済みローカル利用者が権限昇格できる可能性があり、6.6.11 で修正されました。VDIプラグインはIT部門が配布するコンポーネントで、利用者が個別に更新できない点が後述のとおり対応上の注意点になります。

CVE-2026-30904（Zoom Workplace for iOS）

iOS版Zoom Workplaceの保護機構の不備（CWE-693）で、端末を物理的に操作できる攻撃者が本来見えない情報を読み取れる可能性があります。攻撃元区分は「物理（AV:P）」で、遠隔からは成立しません。7.0.0 で修正されています。深刻度の評価は後述のとおりZoomとNVDで割れています。

深刻度「High」の読み方とCVSSの位置づけ

CVSS v3.1の深刻度は数値で4段階に区分されます。今回の「High（7.8）」は上から2番目で、最上位の「Critical」ではありません。

High 2件のベクターは CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。要点は先頭の「AV:L」（攻撃元＝ローカル）で、攻撃者がすでに対象端末で低権限のコードを実行できることが前提になります。裏を返せば、外部公開サーバの脆弱性のように「ネット越しに一撃」という性質ではありません。CVSSやCWEの読み方そのものはCVEとCWEの違いと脆弱性管理の基礎で整理しています。

iOS版（CVE-2026-30904）はZoomとNVDでスコアが割れている

同じCVE番号でも、採点者によってCVSSが変わることがあります。CVE-2026-30904はその典型です。

差はおもに必要権限（Zoom＝高/NVD＝低）と機密性への影響（Zoom＝低/NVD＝高）の見立てにあります。ベンダーは自社製品の前提条件を踏まえて低く、NVDは保守的に高く付ける傾向があるためで、矛盾ではありません。実務では「物理アクセスが要る＝優先度は高くない」というZoom側の見立てを軸にしつつ、紛失・盗難端末を扱う運用では過小評価しない、という読み方が現実的です。

これはリモート攻撃ではない：3件の攻撃条件と影響対象

報道見出しの「Zoomに脆弱性」だけを見ると会議の盗聴や乗っ取りを連想しがちですが、3件はいずれもそこには当たりません。攻撃成立に必要な前提を並べると性質がはっきりします。

• CVE-2026-30905・30906（High）：攻撃者が対象Windows端末ですでにローカル実行できることが前提。そのうえでインストーラの隙を突いて管理者権限へ昇格する「権限昇格（EoP：Elevation of Privilege）」であり、初期侵入の手段ではありません。標的型攻撃の“横展開・権限奪取”フェーズで使われる類です。
• CVE-2026-30904（Low〜Medium）：iOS端末を物理的に手に取れることが前提の情報開示。遠隔では成立しません。
• 3件に共通：利用者の操作（リンククリック等）は不要（UI:N）ですが、その代わりローカル権限か物理アクセスという“到達済み”の状態が要ります。ネットワーク越し（AV:N）の脆弱性は今回ありません。

したがって最優先は、共有端末（Zoom Rooms）や標準配布物（VDIプラグイン）のように他者が触れる／広く配られる環境です。逆に、個人が最新のWindows/Mac版Zoom Workplaceを使っているだけなら、3件の直接の対象ではありません。

利用中バージョンの確認と更新手順

対応は「該当製品を修正版以上にする」ことに尽きます。バージョンの確認と更新手順は製品ごとに異なります。

Zoom Rooms for Windows（→ 7.0.0 以上）

Zoom Roomsコントローラの設定またはZoom Rooms管理画面の「バージョン情報」で番号を確認し、7.0.0 未満なら更新します。Roomsは会議室に常設される共有端末のため、個々の会議室で放置されやすい点に注意します。集中管理する場合はZoom管理者ポータル（Zoom Rooms管理）から一括で更新状況を確認します。

Zoom Workplace VDIプラグイン（→ 6.6.11 以上）

VDIプラグインは利用者PC（シンクライアント側）にIT部門が配布するコンポーネントです。プラグインのバージョンは、Zoomクライアントの「統計情報」→「VDI」タブなどで確認できます。6.6.10 以前なら、配布元のインストーラを 6.6.11 以上へ差し替えて再配布します。利用者個人がストアから更新するものではない点が、通常のクライアント更新と大きく違います。

Zoom Workplace for iOS（→ 7.0.0 以上）

App Storeの「アップデート」からZoom Workplaceを最新化し、アプリ内「設定」→「Zoomについて」でバージョンが 7.0.0 以上になっていることを確認します。自動更新を有効にしていても、反映まで時間差があるため手動で一度確認しておくと確実です。

企業での対応：配布物としてのVDIプラグイン・Rooms

今回の3件が個人利用者の記事と違うのは、High 2件が「エンドユーザーが自分で更新できない配布物」に存在する点です。ここを取り違えると「App Storeで更新して終わり」と誤解し、Windows側が残ります。

• VDIプラグイン：マスターイメージやゴールデンイメージ、配布パッケージ（MSI等）に含まれる版を 6.6.11 以上へ更新し、再配布・再展開する。旧版が残ったイメージから払い出される端末が盲点になります。
• Zoom Rooms：会議室ごとに版がばらつくため、管理ポータルで版を棚卸ししてから 7.0.0 へ揃える。運用中の会議を避けて更新タイムスロットを設けます。
• 優先度の付け方：3件はいずれもローカル/物理前提のため、外部公開資産の緊急パッチ（リモートRCE等）より優先度は下がります。定例のパッチ管理サイクルに組み込み、24時間以内の緊急展開までは通常不要です。他アプリの緊急度比較は7-Zip脆弱性（CVE-2026-48095）の深刻度と対処やApache HTTP Serverの脆弱性まとめもあわせて判断材料になります。

よくある質問

CVE-2026-30905とは何ですか？

Windows版「Zoom Workplace VDIプラグイン」のインストーラにあるファイルパス制御不備の脆弱性です（速報ZSB-26007、CVSS 7.8 High）。認証済みのローカル利用者が権限を昇格できる可能性があり、6.6.11 で修正されています。

3件のうち最も危険なのはどれですか？

CVSS上はCVE-2026-30905とCVE-2026-30906の2件が7.8「High」で並びます。ただし両方ともローカル権限昇格で、初期侵入の手段ではありません。iOS版のCVE-2026-30904はZoom評価で1.8「Low」と最も低いです。

普通にZoomでミーティングに参加しているだけでも危険ですか？

3件はいずれも会議参加やネットワーク越しの攻撃では成立しません。Zoom Rooms・VDIプラグイン・iOS版のいずれも使っていないなら直接の対象外です。ただしセキュリティ上、Zoomは常に最新版の利用が推奨されます。

自動更新をオンにしていれば対応済みですか？

iOS版とデスクトップ版は自動更新で追随しますが、反映に時差があるため一度バージョンを確認してください。VDIプラグインとZoom RoomsはIT部門の配布物で自動更新に乗らないことが多く、配布パッケージ側の更新が必要です。

悪用は確認されていますか？

公開時点でZoomは3件の実際の悪用報告はないとしています。修正版が先に用意された調整済み開示のため、公開＝即危険という状況ではありません。

関連記事

• CVEとCWEの違いとは？脆弱性管理の基礎をCVSS・相互関係とあわせて解説
• 「7-Zip」脆弱性は危険なのか｜CVE-2026-48095など主要CVEの深刻度と最新版への対処法
• Apache HTTP Server 2.4の脆弱性まとめ：CVE-2026-33523ほか影響範囲と対応手順
• CVE-2026-31431「Copy Fail」とは？影響範囲と今すぐ行うべきパッチ・緩和策