CISA orders feds to patch max severity ColdFusion flaw by Friday
2026/07/08 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Adobe ColdFusion 商用 Web アプリ開発プラットフォームに存在し、アクティブに悪用されている最高深刻度の欠陥について、7月10日 (金) までにパッチを適用するよう政府機関に命じた。この脆弱性 CVE-2026-48282 は、ColdFusion バージョン 2025.9／2023.20 以下に影響を及ぼす。また、リモートの脅威アクターが権限なしで、低複雑度の攻撃により悪用し、パッチ未適用のシステム上でコードを実行できる。
このセキュリティ欠陥に対処するために、Adobe は 6月30日にセキュリティ更新をリリースしている。そして、この脆弱性は悪用リスクが高いとして、管理者に対して直ちにパッチを適用するよう促した。
Adobe は、「この更新は、対象製品のバージョンおよびプラットフォームにおいて、実環境のエクスプロイトの標的とされるリスクが高い脆弱性を解決するものである。管理者に対して推奨されるのは、可能な限り迅速 (72 時間以内) に更新をインストールすることである 」と述べていた。
KEVIntel の創設者 Ryan Dewhurst が警告したのは、Adobe がパッチを公開した 2 日後に、攻撃者が CVE-2026-48282 の悪用を開始していたことだ。その一方で、Canadian Center for Cyber Security (CCCS) は、継続中の攻撃からシステムを保護するよう、ネットワーク防御担当者に促した。
インターネット・セキュリティ監視団体 Shadowserver は、オンラインに露出している 800 件近くの Adobe ColdFusion インスタンスを追跡している。ただし、そのうち何件がハニーポットであるかについて、また、CVE-2026-48282 の欠陥を標的とする攻撃に対して保護済みであるかについては、情報が提供されていない。
7月7日 (火) に CISA は、脆弱性 CVE-2026-48282 を KEV (Known Exploited Vulnerabilities) カタログに追加した。そして、Binding Operational Directive (BOD) 26-04 が求めるように、米国の Federal Civilian Executive Branch (FCEB) 機関に対して、7月10日 (金) までにシステムにパッチを適用するよう命じた。
2026年6月に公表された BOD 26-04 は、CISA の KEV カタログへの登録／大規模攻撃向けの自動化の可能性／脆弱な資産のオンラインへの露出／悪用に成功した場合の制御の奪取に基づき、連邦政府機関にパッチ適用の優先順位付けを義務付けるものだ。
先週 Adobe は、ColdFusion Web アプリ開発プラットフォームおよび、Campaign Classic マーケティング自動化プラットフォームに存在する、6 件の最高深刻度の欠陥に対してもパッチを適用した。それらは、標的となるリスクが高いものとしてタグ付けされている。
2026年4月上旬にも Adobe は、2025年12月以降にゼロデイとして悪用されていた Acrobat Reader の脆弱性 CVE-2026-34621 に対して、緊急のアップデートをリリースしている。
2021 年 11 月以降において、CISA は Adobe 製品に存在する 80 件の脆弱性を、アクティブに悪用されているセキュリティ欠陥のリストへ追加している。そのうち 10 件は、ランサムウェア攻撃でも悪用されている。
訳者後書：Adobe ColdFusion に存在する、深刻な脆弱性 CVE-2026-48282 が CISA KEV に登録されました。この脆弱性が、リモートの脅威アクターに悪用されると、システム上でのコード実行が引き起こされる可能性があります。ご利用のチームは、ご注意ください。よろしければ、CISA KEV ページも、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.