Zoomの脆弱性一覧【2026年11月】ZSB-26023ほか全24件の影響版と更新先｜CVE-2026-30905も解説

Zoomは2026年11月13日までに、セキュリティ速報（Security Bulletin）をZSB-26001からZSB-26024まで24件公開しています。最新は11月10日公開の2件（ZSB-26023・26024）で、うちZSB-26023はWindows版Zoom Workplaceの7.1.0以上7.1.8未満を対象とする深刻度Critical（CVSS 9.6）です。11月13日時点で上げるべき版は、Zoom Workplaceが7.2.0以上（Androidは7.2.1以上）です。検索の多いCVE-2026-30905は5月12日公開のVDIプラグインの権限昇格で、6.6.11で修正済みです。この記事では24件を1つの表にまとめ、製品ごとの更新先と、手元の端末がどの速報に当たるかを確かめる手順を示します。

まとめ：2026年11月13日時点で上げるべき版と急ぐ端末

• 上げる先：Zoom Workplace（Windows・macOS・Linux・iOS）は 7.2.0 以上、Androidは 7.2.1 以上。11月13日にZoomのダウンロード窓口が配っている版はWindows（64bit・ARM64）・macOS・Linuxとも 7.2.5 です。
• 最優先：Windows版が 7.1.0〜7.1.7 の端末。11月のCritical（ZSB-26023）の影響版です。
• 7.0系・7.1系で止めている組織：10月・11月の速報に7.0系の修正版はありません。7.1系の最終版 7.1.9 でも、Zoom Phone機能のZSB-26020（7.2.0未満がすべて影響版）は残ります。
• 32bit版Windows：配布されている32bit版は 6.6.11 で止まっており、7月のCritical（ZSB-26014・7.0.0未満が影響版）以降の修正を受け取れません。アプリの入れ替えでは済まず、64bit版WindowsのOS・端末へ移すか、移せない端末ではZoomの利用をやめる対応になります。
• CVE-2026-30905ほか5月の3件：いずれもローカルか物理アクセスが前提で、ネット越しには成立しません。VDIプラグイン 6.6.11、Zoom Rooms for Windowsと iOS版 7.0.0 で修正されています。ただし同じ製品にその後も速報が続いたため、3件の修正版で止めるのは不十分です。

2026年に公開されたZoomの脆弱性一覧（ZSB-26001〜26024）

Zoom公式のセキュリティ速報の一覧と各速報の本文を、2026年11月13日に取得してまとめました。修正版は各速報の「Affected Products」に書かれた影響範囲の上限で、対象が複数の製品にまたがる速報では、代表としてZoom Workplace（Workplaceが対象外の速報はその製品）の値を載せています。複数の系列が並ぶものは「7.1.5／7.0.6」のように系列ごとの修正版を並べています。VDIクライアント・Rooms・SDKなどは同じ速報でも版の条件が違うため、次の章の製品別の表で確かめてください。

表の公開日はすべて2026年です。ZSB-26023の修正版は、速報が影響範囲を「7.1.0以上7.1.8未満」と書いていることから読み取った値で、速報自体は修正版の番号を挙げていません。

24件の内訳は、Critical 4件・High 18件・Medium 1件・Low 1件です。攻撃元で分けるとネットワーク越しが13件、端末上での実行が前提のローカルが10件、端末を手に取る必要がある物理が1件でした。ローカルの10件のうち9件は、研究者 sim0nsecurity 氏の報告です。Critical 4件はどれもネットワーク越しで、4件ともZoom社内の攻撃検証チーム（Zoom Offensive Security）の報告です。

公開日は1月20日を除き、すべて毎月第2火曜です。MicrosoftのPatch Tuesdayと同じ日にあたり、次の候補日は12月8日（日本時間では9日）です。Patch Tuesdayの日本時間と2026年・2027年の日程に合わせて点検日を決めておくと、Zoomの確認も同じ日に済みます。2月・4月・9月には新しい速報が出ていません。

製品別に11月13日時点で必要な最低版と配布中の版

上の24件の修正版のうち、製品ごとに最も新しいものが「最低版」です。配布中の版は、Zoomのダウンロード窓口（zoom.us/rest/download）が2026年11月13日に返した値です。

「―」はダウンロード窓口が版を返さない製品です。各速報はZoomのダウンロードページの最新版を当てるよう勧めているので、実際の運用では最低版で止めず、配布中の最新版へ上げるのが確実です。Zoom Roomsは、ZSB-26020の対象「Zoom Workplace」に含まれるかが速報に書かれていないため、ZSB-26021の修正版を最低版としています。VDIクライアントの6.5系は、8月のZSB-26015〜26017が7.0系と6.6系の修正版しか挙げていないので、6.6系以上へ移す必要があります。Windows版の7.2系までの変更点やリリース日は、Zoom Workplace 7.0.0の変更点と最新版7.2の版履歴で整理しています。

6.6.11止まりの32bit版WindowsとZSB-26014（Critical）

Zoomは32bit版Windowsのサポート終了の告知で、2025年12月15日公開の6.7.0から32bit版Windowsの端末をサポートしないと案内しました。ダウンロード窓口が11月13日に返した32bit版は 6.6.11 (23272) です。この版はZSB-26014（Critical・7.0.0未満）の影響版で、ZSB-26015〜26017、ZSB-26020、ZSB-26024の影響範囲にも入ります。32bit版の利用者がアプリ内の更新を何度押しても、これらの修正は届きません。64bit版のWindowsへ移すか、その端末でZoomを使うのをやめるしかありません。

Zoomが強制する最低版はセキュリティの修正版とは別物

Zoomには、古いアプリでは会議に入れなくする「最低バージョン」の仕組みがあります。最低バージョンの案内によると、2026年11月7日から適用中の値はWindowsが 5.17.5、macOS・Linux・Android・iOSが 6.0.2 で、次回の適用日は2027年2月6日（値は据え置き予定）です。7.2.0とは大きく離れており、最低版の強制で会議に入れなくなるまで待っていると、上の速報の大半を抱えたまま使い続けることになります。

11月10日のZSB-26023（Critical）とZSB-26024の影響範囲

ZSB-26023は、Windows版Zoom Workplaceの入力検証の不備（Improper Input Validation）で、認証されていない攻撃者がネットワーク経由で権限を昇格できるおそれがあります。ベクターは CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H です。攻撃の難しさが「低」、必要な権限が「なし」で、利用者の何らかの操作（UI:R）が要ると評価されています。どの操作が必要かは公表されていません。影響範囲は「starting on version 7.1.0 and before version 7.1.8」で、7.0系は含まれません。

ZSB-26024は、Windows版の送信元の検証不備（Origin Validation Error）で、CVSS 8.1のHighです。影響範囲は「before version 7.1.5」と下限がないため、7.0系はすべて影響版になります。7.1系なら7.1.8でZSB-26023を外れますが、7.1.8も7.1.9もZSB-26020の影響版のままなので、上げる先は7.2.0以上を選びます。

NVDでは、ZSB-26023のCVE-2026-108186は11月10日に登録され、11月13日時点では「Awaiting Analysis」（NVDの分析待ち）で、スコアはZoomの9.6だけが載っています。

10月13日のZSB-26019〜26022で7.1系の修正版がない速報

10月13日の4件はすべてHighで、ネットワーク越しの評価です。このうち影響が最も広いのがZSB-26020です。Zoom Workplaceに組み込まれたZoom Phone（クラウド電話）機能のバッファオーバーフローで、影響範囲は「all supported platforms before version 7.2.0」と書かれ、7.1系や7.0系の修正版は挙がっていません。ベクターは AV:N/AC:H/PR:L/UI:R/S:C で、攻撃の難しさが「高」、利用者の操作が必要という条件付きです。

ZSB-26021（Windows版の証明書検証の不備）とZSB-26022（メモ機能「My Notes」の証明書検証の不備）は、7.2系と7.1系の7.1.9に修正版があります。ZSB-26021はZoom Rooms for Windowsの7.0.0以上7.1.7未満と、VDIクライアントの7.0.11以上7.0.13未満も対象です。ZSB-26019は6月のZSB-26010と同じ種類の、Android版カスタムURLスキームの認可不備で、7.2.1で修正されました。

CVE-2026-30905ほか5月12日公開の3件の中身

5月12日のZSB-26006・ZSB-26007・ZSB-26008は、いずれも攻撃者が端末にすでに入り込んでいるか、端末を手に取れることが前提です。ネット越しに会議を乗っ取る種類のものではありません。

• CVE-2026-30905（ZSB-26007・High 7.8）：VDI（仮想デスクトップ）環境で音声・映像処理を手元のPCへ逃がす「VDIプラグイン」のWindows用ユニバーサルインストーラにある、ファイル名・パスの外部制御（CWE-73）です。影響版は「version 6.6.10」と1つの版だけが書かれ、6.6.11で修正されました。
• CVE-2026-30906（ZSB-26008・High 7.8）：会議室端末向けZoom Rooms for Windowsのインストーラにある、信頼できない検索パス（CWE-426）です。7.0.0で修正されました。
• CVE-2026-30904（ZSB-26006・Low 1.8）：iOS版Zoom Workplaceの保護機構の不備（CWE-693）で、端末を物理的に操作できる攻撃者が情報を読み取れるおそれがあります。7.0.0で修正されました。

Windows向けの2件は研究者 sim0nsecurity 氏、iOS向けは errorsec_ 氏の報告です。High 2件のベクターは CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H で、先頭のAV:L（攻撃元＝ローカル）は攻撃者が対象端末上で操作できることを、PR:L（必要な権限＝低）は一般利用者程度の権限が要ることを意味します。初期侵入の手段ではなく、侵入後に管理者権限を奪う段階で使われる種類です。

CVE-2026-30904のZoom評価とNVD評価の差

同じCVEでも採点者によってCVSSが変わることがあります。NVDのCVE-2026-30904には、Zoomの評価とNVD自身の評価が並んでいます。

差は必要な権限（Zoomは高・NVDは低）と機密性への影響（Zoomは低・NVDは高）の見立てです。一方、CVE-2026-30905と30906はNVDの分析が済んだ（Analyzed）状態でも、スコアはZoomの7.8だけで、NVDは独自の採点を付けていません。紛失・盗難の多い業務用iPhoneを抱える組織では、30904をLowと読まずNVDの4.3を基準に扱うのが無難です。CVSSの各項目の意味はCVSSv3のスコアの目安と計算式、CVEとCWEの関係はCVEとCWEの違いと、1件のCVEにCWEが付く仕組みで解説しています。

7.0系・7.1系に留めている端末を7.2系へ上げる判断

8月までは、Zoom Workplaceを7.0系に留めていても7.0.6で修正を受け取れました。10月と11月の速報でこの前提が崩れています。配布する版を固定している組織は、次の順で判断します。

• Windows版を7.1.0〜7.1.7で配布している：ZSB-26023（Critical）の影響版です。次の定例を待たずに7.2系へ上げます。
• Zoom Phoneを使っている：ZSB-26020は7.2.0未満のすべてが影響版です。影響箇所がZoom Phoneの機能そのものなので、7.1.9に留めず7.2系へ上げます。
• 7.0系（7.0.6など）で止めている：WindowsではZSB-26024の影響版で、ZSB-26020・26021・26022にも7.0系の修正版がありません。7.0系のまま修正を受け取る道は、11月13日時点の速報からは読み取れません。
• 7.1.9に留まっている：11月の2件とZSB-26021・26022は外れていますが、ZSB-26020は残ります。速報は「Zoom Phoneを使っていなければ対象外」とは書いていないため、Zoom Phoneを契約していない組織でも、翌月まで待てるとは判断せず7.2系への更新を進めます。

立場としては更新を優先します。ただしセキュリティ速報は互換性や業務への影響までは扱っていないため、業務アプリとの連携や会議室機器の動作は別に検証します。検証が済むまで7.2系へ上げられない端末が残る場合は、その端末でのZoomの利用を止めるか、更新済みの代替端末へ切り替えるかを決めておきます。

Zoomの利用中の版を確かめて更新する手順

デスクトップ版（Windows・macOS・Linux）の利用者向け更新手順

Zoomの更新手順の案内のとおり、アプリにサインインし、右上のプロフィール画像をクリックして「更新を確認（Check for Updates）」を選びます。新しい版があればダウンロードとインストールが始まります。このメニューが出ない場合は、IT部門が配布した版の可能性があるため、自分で入れ直さずIT部門に確認します。Zoomの自動更新の解説によると、Windows版のEXE・macOS版のDMGは自動更新が既定で有効ですが、IT部門が一括配布に使うMSI・PKGは既定で無効です。MSIでは AU2_EnableAutoUpdate を指定しないと自動更新されず、AU2_EnableManualUpdate を否定値にすると利用者は手動でも更新できません。

管理者向けの自動更新・更新チャネル設定

Zoom Device Management（ZDM）で端末を管理している場合は、ZDMのクライアント設定の案内に沿って、Zoom Webポータルの「Device Management」→「Device List」→「Groups」で対象グループを編集し、「Zoom Clients」の「Auto-update Zoom desktop client」を有効にします。更新チャネルはSlow（既定）とFastから選べ、対象はWindowsとmacOSです。更新チャネルの説明では、Slowは更新の回数を抑えて安定性を重視し、Fastは新しい機能と更新を早く届けるとされています。7.1.9に留まっている端末があれば、更新チャネルの設定と、配布ツールで版を固定していないかを確かめます。

PowerShellによるWindows端末の版一覧と速報別の判定

会議室端末やVDIのマスターイメージを点検するときは、PowerShellでインストール済みのZoom製品を一覧できます。利用者ごとに入るZoom Workplaceは HKCU 側に記録されるため、3か所をまとめて見ます。HKCU は実行したユーザーの分だけが見える点に注意が必要です。管理者アカウントやSYSTEM権限で実行すると、ほかの利用者のプロファイルに入った旧版は一覧に出ません。全利用者分を棚卸しするなら、各利用者の権限で実行するか、資産管理ツールで集めます。

# インストール済みの Zoom 製品の名前と版を一覧する（PowerShell）
$paths = @(
  'HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*',
  'HKLM:\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*',
  'HKCU:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*'
)
Get-ItemProperty $paths -ErrorAction SilentlyContinue |
  Where-Object { $_.DisplayName -like '*Zoom*' } |
  Select-Object DisplayName, DisplayVersion

続けて、Windows版Zoom Workplaceが4件の速報（ZSB-26014・26024・26023・26020）の影響範囲に入るかを列にして判定します。True の列がその端末に当たる速報です。判定するのは版の範囲だけで、ほかの速報や、版以外の条件は対象外です。VDIクライアント・VDIプラグインは版の条件が違うため、名前に「VDI」を含む製品は除いています。版の表記は「7.2.5 (51704)」のように末尾にビルド番号が付くため、空白以降を除いてから比べています。

# 上の $paths を定義したうえで実行する
Get-ItemProperty $paths -ErrorAction SilentlyContinue |
  Where-Object { $_.DisplayName -like 'Zoom Workplace*' -and $_.DisplayName -notlike '*VDI*' -and $_.DisplayVersion } |
  ForEach-Object {
    $v = [version]($_.DisplayVersion -replace '\s.*$', '')
    [pscustomobject]@{
      Version  = $_.DisplayVersion
      ZSB26014 = ($v -lt [version]'7.0.0')
      ZSB26024 = ($v -lt [version]'7.1.5')
      ZSB26023 = ($v -ge [version]'7.1.0' -and $v -lt [version]'7.1.8')
      ZSB26020 = ($v -lt [version]'7.2.0')
    }
  } | Format-Table -AutoSize

判定部分は、2026年11月13日にPowerShell 7.6.6へ試験用の版を渡して確かめました。レジストリの代わりに版の文字列を直接与えた結果で、速報の影響範囲の書き方と一致しています。名前が「Zoom Workplace VDI」の試験データ（6.6.16）が判定から除かれることも確かめました。

表の版はビルド番号を含め、判定を確かめるために入れた値です（6.6.11 (23272) と 7.2.5 (51704) は配布中の版の表記に合わせました）。

Zoom Rooms・VDIプラグイン・モバイル版の確認先

• Zoom Rooms：Zoom Webポータルの Rooms 管理画面で会議室ごとの版を棚卸しし、Windowsは7.1.7以上へ揃えます。会議室ごとに版がばらつきやすく、会議の無い時間帯に更新枠を設けます。
• VDIプラグイン：利用者のPC（シンクライアント側）にIT部門が配布するものです。マスターイメージや配布パッケージに入っている版を7.0.11か6.6.15以上へ差し替え、再展開します。旧版が残ったイメージから払い出される端末が見落としやすい箇所です。
• iOS・Android：App Store・Google Playの「アップデート」から更新し、アプリの「設定」→「Zoomについて」で版を確かめます。iOSは7.2.0以上、Androidは7.2.1以上です。

開発者と管理者が見落としやすいSDK・Zoom Node・Contact Centerの更新

Zoomの速報は、会議アプリだけでなく、自社アプリに組み込むSDKやオンプレミスの中継サーバーも対象にしています。ここは利用者の自動更新では直らないため、開発・運用の担当者が手を動かす必要があります。

• Meeting SDK・Video SDKを組み込んだ自社アプリ：8月のZSB-26015〜26017は注釈（アノテーション）機能の欠陥です。ZSB-26015と26017は会議の参加者が別の参加者の端末でコードを実行できるおそれがあり、ZSB-26016は相手のアプリを停止させる（サービス拒否）おそれがあります。Meeting SDKは7.1.5、Video SDKは2.6.5に上げて再ビルドし、配布し直します。ZSB-26015〜26017がVideo SDKを対象に加えたのは8月14日の改訂で、初版（8月11日）だけを読んだ担当者は見落としている可能性があります。
• Zoom Node（Meetings HybridとMeeting Connector）：1月のZSB-26001はMMR（会議の中継モジュール）のコマンドインジェクションで、CVSS 9.9のCriticalです。会議の参加者がMMRでコードを実行できるおそれがあり、MMRを5.2.1716.0以上へ更新します。
• Contact Center Remote Control for Windows：ZSB-26009とZSB-26012がローカルの権限昇格で、7.0.0以上が必要です。

Rooms・VDI・SDKのように利用者が自分で更新できないものは、パッチの棚卸しから漏れやすい部分です。社内端末の更新状況から公開資産の弱点までまとめて確かめたい場合は、一創の脆弱性診断・セキュリティ診断を利用できます。他のアプリでの更新判断は、7-Zip脆弱性の深刻度と対処やApache HTTP Serverの脆弱性まとめも参考になります。

よくある質問

CVE-2026-30905とは何ですか？

Windows版「Zoom Workplace VDIプラグイン」のユニバーサルインストーラにある、ファイル名・パスの外部制御の脆弱性です（速報ZSB-26007、CVSS 7.8 High）。認証済みのローカル利用者が権限を昇格できるおそれがあり、影響版は6.6.10、修正版は6.6.11です。8月のZSB-26018まで含めると、VDIプラグインは7.0.11か6.6.15以上が必要です。

Zoomは危険？使い続けても大丈夫ですか？

2026年の24件はすべて修正版が出ており、最新版に上げれば影響範囲の外です。危険なのは古い版のまま使い続けることで、とくにWindows版の7.1.0〜7.1.7（ZSB-26023）と、更新が届かない32bit版Windowsです。11月13日時点ではWindows・macOS・Linuxとも7.2.5が配布されています。

自動更新をオンにしていれば対応済みですか？

自動更新が有効なら追随しますが、既定のSlowチャネルは更新の回数を抑える設定で、配布ツールで版を固定している端末は上がりません。IT部門がMSI・PKGで配布した版は、既定では自動更新されません。一度「更新を確認」で版を確かめてください。VDIプラグイン・Zoom Rooms・SDKを組み込んだアプリは利用者の自動更新に乗らないため、配布する側での更新が必要です。

Zoomの脆弱性は悪用されていますか？

2026年11月10日版のCISA KEV（悪用が確認された脆弱性の一覧）に、Zoom製品の登録は1件もありません。2026年の24件の速報にも、悪用を確認したという記載はありません。KEVに載ると米連邦機関には是正期限が課されます。期限の決まり方はKEVの是正期限を決めるBOD 26-04で解説しています。

Zoomの脆弱性情報はどこで確認できますか？

Zoom公式のセキュリティ速報（日本語ページ）に全件が載ります。ページ下部から通知メールを購読できますが、受け取れるのは個人のメールアドレスだけで、エイリアスには届かないと明記されています。正式な本文は英語で、翻訳の正確さは保証されないため、影響範囲は英語版で確かめるのが確実です。

関連記事

• Zoom Workplace 7.0.0の変更点と最新版7.2｜仕様変更・版履歴・脆弱性とアップデート方法
• Patch Tuesday（パッチチューズデー）とは？日本時間と2026・2027年の日程、Microsoftゼロデイへの対応順
• CVSSv3とは？v3.1のスコアの目安・計算式と計算機の使い方を解説
• CVEとCWEの違いとは？CWEの意味と、1件のCVEにCWEが付く仕組みを実例で解説
• BOD 26-04とは？KEVの是正期限を4変数で決める仕組みと自社運用への移し方