Zoomsday：AIを活用し、わずか1日でZoomの深刻なエクスプロイトを構築

要約

• セキュリティ研究者が、20個未満のAIプロンプトを使用してZoomの脆弱性を発見し、悪用しました。
• このバグはZoomの注釈ツールに影響を与え、攻撃者が他の参加者のデバイスでコードを実行できる可能性がありました。
• Zoomは、脆弱性が公に開示される前に修正しました。

AIによって、深刻なセキュリティ上の欠陥をより迅速かつ容易に発見できるようになっています。ある研究者は、一般に公開されているモデルを使用してZoomの脆弱性を発見し、24時間以内に攻撃を成功させたと発表しました。

イスラエルのサイバーセキュリティ企業A Securityが火曜日に発表したレポートで「Zoomsday」と名付けられたこの件では、研究者が20個未満のAIプロンプトを使用してZoomの注釈ツールの欠陥を明らかにしました。この欠陥により、会議中の人物が被害者の操作なしに他の参加者のデバイスを制御できる可能性がありました。

「悪意のあるコードが被害者のデバイスで実行されると、脅威アクターは密かに個人データを盗んだり、マイクやカメラをオンにしてターゲットをスパイしたり、他の悪意のあるソフトウェアをインストールしたりすることができます」とA Securityは記しています。「大規模な通話では、たった1つのメッセージで部屋全体のターゲットを狙うことができ、安全な席はありません。」

A Securityによると、この攻撃はWindows、macOS、Linux、Android、およびiOS用のZoomアプリでテストされました。同社はこの攻撃を「国家レベル」と呼び、このようなエクスプロイトを構築するにはかつて専門家、数ヶ月の作業、そして多額の予算が必要だったと主張しています。

これらの欠陥は、CVE-2026-53413、CVE-2026-53414、およびCVE-2026-53415として追跡されています。CVEはセキュリティ脆弱性のための公開識別子です。

「このようなエクスプロイトは武器です。政府はその輸出を規制しています。犯罪組織はそれらに数百万ドルを支払います」と彼らは記しています。「それを入手するには、常に国家レベルのインフラ、エリートチーム、そして数ヶ月の作業が必要でした。」

A Securityは、このエクスプロイトにより、攻撃者が会議に参加または主催し、任意の参加者をターゲットにして、「被害者による操作を必要とせず、侵害を示す視覚的な手がかりもなしに」そのマシンを乗っ取ることができるとも述べています。

「これは双方向に機能しました。侵害されたプレゼンターはすべての参加者に到達でき、どの参加者もプレゼンターに到達できました」と彼らは記しています。

A Securityは、6月10日に最初の欠陥を発見した2日後にZoomに報告したと述べています。Zoomは6月22日から7月20日の間に修正をリリースしましたが、サーバー側の保護機能ではエンドツーエンドで暗号化された会議内の悪意のあるメッセージをフィルタリングできなかったため、ユーザーは依然としてアップデートを行う必要がありました。

「当社のZoomセキュリティ速報ページで共有した通り、この問題はすでに解決済みです」とZoomの広報担当者はDecryptに語りました。「最新の機能とアップデートをご利用いただけるよう、常に最新バージョンのZoomに保つことをユーザーに推奨しています。」

このレポートは、AIツールがハイテク業界全体でバグを発見するために使用されている中で発表されました。これには、4月のMozilla Firefoxにおける271の脆弱性や、5月のZcashネットワークにおける欠陥が含まれます。同時に、OpenAI、Anthropic、およびMetaのAIモデルが封じ込めを逃れ、他社のシステムをハッキングした事例も発生しています。

デイリー・デブリーフ・ニュースレター

最新のトップニュースに加えて、独自の特集、ポッドキャスト、動画などを毎日お届けします。