ZoomとGitLabが緊急セキュリティアップデートを公開：RCE、DoS、2FA回避の脆弱性に対処

ZoomとGitLabという、現代のソフトウェア開発とコミュニケーションに欠かせない2つのプラットフォームが、重大なセキュリティ脆弱性に対するパッチをリリースしました。これらの脆弱性には、リモートコード実行（RCE）、サービス拒否（DoS）、そして二要素認証（2FA）のバイパスが含まれており、組織のセキュリティに深刻な影響を与える可能性があります。本記事では、これらの脆弱性の詳細と、すぐに実施すべき対策について解説します。

この記事のポイント
Zoomの重大なRCE脆弱性
GitLabの複数の脆弱性
1. 高深刻度の脆弱性
2. 中深刻度の脆弱性
なぜこれらの脆弱性が重要なのか
実践してみよう
セキュリティTips
まとめ

この記事のポイント

ZoomのNode Multimedia Router（MMR）にCVSS 9.9の重大なRCE脆弱性（CVE-2026-22844）が発見された
GitLabは5つの脆弱性を修正、そのうち2FA回避の脆弱性は特に危険
両プラットフォームとも早急なアップデートが必要で、放置すると組織全体が危険にさらされる
オンプレミス環境の監視と定期的なセキュリティ監査がこれまで以上に重要に

Zoomの重大なRCE脆弱性

最も深刻な脆弱性は、ZoomのNode Multimedia Router（MMR）に影響するコマンドインジェクションの脆弱性です。CVE-2026-22844として追跡されるこの脆弱性は、CVSS（共通脆弱性評価システム）スコアで10.0点満点中9.9点という極めて高い危険度を示しています。

この脆弱性が悪用された場合、会議参加者がネットワークアクセスを通じてMMRに対してリモートコード実行攻撃を実行できてしまいます。つまり、悪意のある会議参加者が、組織のZoomインフラストラクチャを完全に乗っ取る可能性があるということです。

影響を受けるバージョンは以下の通りです：
– Zoom Node Meetings Hybrid（ZMH）MMRモジュールバージョン5.2.1716.0未満
– Zoom Node Meeting Connector（MC）MMRモジュールバージョン5.2.1716.0未満

幸いなことに、Zoomの内部セキュリティチーム（Offensive Security team）によって発見されたこの脆弱性は、現時点では実際の攻撃に悪用された証拠は確認されていません。しかし、CVSSスコアの高さを考慮すると、該当するデプロイメントタイプを使用している組織は直ちにアップグレードすることが強く推奨されます。

GitLabの複数の脆弱性

GitLabは、CommunityエディションとEnterpriseエディションの両方に影響する5つのセキュリティ脆弱性を修正するパッチをリリースしました。これらの脆弱性は、認証されていないユーザーによるDoS攻撃から、認証バイパスまで、様々な攻撃ベクトルをカバーしています。

高深刻度の脆弱性

CVE-2025-13927（CVSS 7.5）は、認証されていないユーザーが不正な形式の認証リクエストを送信することで悪用できるDoS脆弱性です。GitLabサーバーを過負荷状態にし、正規ユーザーのアクセスを妨害する可能性があります。

CVE-2025-13928（CVSS 7.5）は、Releases APIを経由した認証不要のDoS状態を引き起こす脆弱性です。公開されているAPIエンドポイントを通じて攻撃可能なため、特に注意が必要です。

CVE-2026-0723（CVSS 7.4）は、最も懸念される脆弱性の一つです。攻撃者がクレデンシャルIDを知っている場合、偽装されたデバイスレスポンスを送信することで二要素認証をバイパスできてしまいます。2FAはセキュリティの重要な防御層であり、これが迂回されることは組織のアカウントセキュリティに重大な影響を与えます。

中深刻度の脆弱性

CVE-2025-13335（CVSS 6.5）は、不正な形式のWikiドキュメントを通じてDoS状態を引き起こす脆弱性です。CVE-2026-1102（CVSS 5.3）は、繰り返される不正なSSH認証リクエストによってDoS状態を引き起こします。

修正済みバージョンは18.6.4、18.7.2、および18.8.2です。

なぜこれらの脆弱性が重要なのか

ZoomとGitLabは、現代のソフトウェア開発組織において中核的な役割を果たしています。Zoomはリモートワーク時代のコミュニケーション基盤であり、GitLabはソースコード管理とCI/CDパイプラインの中心です。これらのプラットフォームの脆弱性は、単なる技術的な問題ではなく、組織のビジネス継続性と知的財産の保護に直結します。

特にGitLabの2FA回避脆弱性は、ソースコードリポジトリへの不正アクセスを可能にし、サプライチェーン攻撃の入口となる可能性があります。ソースコードの改ざんや機密情報の漏洩は、組織に計り知れない損害をもたらす可能性があります。

実践してみよう

以下のコマンドで、現在のシステムの状態を確認し、必要な対策を講じてください。

# GitLabのバージョン確認（オンプレミス環境）
sudo gitlab-rake gitlab:env:info | grep "GitLab version"

# GitLabの緊急アップデート実行
sudo apt update && sudo apt install gitlab-ce  # Debian/Ubuntu
sudo yum update gitlab-ce  # RHEL/CentOS

# Zoomの設定確認（Linux環境）
zoom --version

# Zoomのネットワーク接続監視
sudo lsof -i -P -n | grep zoom | grep ESTABLISHED

# GitLabのセキュリティ監査ログ確認
sudo gitlab-rails console
# コンソール内で: AuditEvent.where(created_at: 24.hours.ago..Time.now).count

# 不審な認証試行の検出（GitLab）
sudo grep "Failed login" /var/log/gitlab/gitlab-rails/production.log | tail -50

セキュリティTips

即時パッチ適用の重要性: CVSSスコアが7.0以上の脆弱性は「高」または「重大」に分類されます。今回のZoomの脆弱性はCVSS 9.9であり、これは「今すぐ対応すべき」レベルです。パッチ適用の遅延は、攻撃者に悪用の機会を与えることになります。組織内で緊急パッチ適用プロセスを確立し、重大な脆弱性には24〜48時間以内に対応できる体制を整えましょう。
2FAの多層防御: GitLabの2FA回避脆弱性は、単一の認証メカニズムに依存することの危険性を示しています。可能であれば、ハードウェアセキュリティキー（YubiKeyなど）の使用、IPベースのアクセス制限、セッション監視など、複数のセキュリティ層を組み合わせることをお勧めします。
オンプレミスとクラウドの監視: 今回の脆弱性はオンプレミス環境（Zoom Node、GitLab自己ホスト版）に影響します。クラウドサービスを利用している場合はベンダーが対応しますが、自己ホスト環境では管理者自身がパッチ適用の責任を負います。環境の棚卸しを行い、自組織がどのような環境を運用しているかを正確に把握しましょう。
脆弱性管理の自動化: 手動での脆弱性追跡は限界があります。Dependabot、Snyk、Trivyなどのツールを活用して、依存関係の脆弱性を自動的に検出し、アラートを受け取る仕組みを構築することが重要です。

まとめ

ZoomとGitLabの今回のセキュリティアップデートは、現代のソフトウェア開発インフラストラクチャが直面するセキュリティリスクの深刻さを改めて示しています。CVSS 9.9のZoom RCE脆弱性は、会議参加者がシステムを完全に制御できる可能性を示唆しており、GitLabの2FA回避脆弱性は、最も信頼性の高い認証メカニズムでさえも完璧ではないことを教えてくれます。

組織を守るためには、脆弱性情報の迅速な把握、パッチ適用プロセスの効率化、そして多層防御の実装が不可欠です。セキュリティは一度設定すれば終わりではなく、継続的な監視と改善が必要なプロセスです。今回の脆弱性をきっかけに、自組織のセキュリティ態勢を見直し、より強固な防御体制を構築していただければ幸いです。

📎 元記事: Zoom and GitLab Release Security Updates Fixing RCE, DoS, and 2FA Bypass Flaws