Zoomの注釈機能に重大な脆弱性、クリック一つせずにPCを乗っ取られる恐れ

リンクをクリックする必要もなく、ファイルをダウンロードする必要もなく、しかも画面上には警告一つ表示されない——それがセキュリティ研究者たちがZoom Workspaceアプリで発見した脆弱性の「静かさ」だ。通話中に誰かが画面共有の「注釈（annotation）」ツールを起動しさえすれば、攻撃者はそれを利用して相手のデバイス上で悪意のあるコードをリモート実行でき、事実上PCを完全に乗っ取ることが可能になる。この脆弱性はWindows、Mac、iOS、Android、Linux版のZoom Workspaceすべてに存在し、ほぼ全プラットフォームのユーザーが影響を受ける範囲に入っていた。

この脆弱性の「誕生プロセス」は、脆弱性そのものよりも恐ろしいものだった。発見したセキュリティチームによると、彼らはAIへのプロンプトを通じて、24時間足らずでこのレベルの攻撃手法を作り上げたという。チームはブログでこう記している。「かつてこのような能力は国家レベルのハッカー集団だけが持ちうるもので、エリート集団、数ヶ月の期間、そして莫大な予算が必要だった。しかし今、そのハードルは崩壊した——今日、たった一人が一日でネイションステート級の脆弱性攻撃を作り出せるのだ」。現時点では、この脆弱性が実際の攻撃で悪用されたという証拠は確認されていない。

Zoomは通報を受けて既に修正パッチをリリースしている。公式の説明によれば「ユーザーは最新バージョンにアップデートするだけで自らを守ることができる」とのことで、つまり旧バージョンのZoom Workspaceはすべてリスクを抱えており、唯一の解決策はアップデートということになる。

偶然にも、Appleもほぼ同時期に似たような状況に遭遇していた。macOSの「画面共有（Screen Sharing）」機能に脆弱性が見つかり、同一ネットワーク内の攻撃者が認証を回避し、有効なアカウント情報がなくてもデバイスにアクセスできる状態だったという。Appleは既にmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9でこの問題を修正済みだ。

両者を合わせると、同じ週内に主要な2つのリモートコラボレーションツールの中核機能に脆弱性が見つかったことになる。現時点では技術的な詳細や影響範囲に関するさらなる情報はないが、今できることはZoomとmacOSの両方を最新バージョンにアップデートすることだけだ。