Adobe ColdFusion の深刻な脆弱性群が FIX：任意コードの実行などの恐れ

Critical Adobe ColdFusion Vulnerabilities Allow Attackers to Execute Arbitrary Code

2026/08/12 CyberSecurityNews — Adobe が ColdFusion 2025／ColdFusion 2023 向けに、複数の深刻な脆弱性に対処するセキュリティ・アップデートを公開した。これらの脆弱性を悪用する脅威アクターは、任意コードの実行／セキュリティ制御の回避／権限昇格／機密性の高いメモリの露出／アプリケーションの可用性阻害などを引き起こす可能性がある。エンタープライズの Web インフラ全体に対して、一連の脆弱性が影響を及ぼす可能性があるため、今回のアップデート・サイクルは緊急と位置付けられている。

Adobe ColdFusion の欠陥によりコード実行が可能に

今回の修正で最も警戒すべき脆弱性 CVE-2026-48362 (CVSS 10.0) は、認証不要の OS コマンド・インジェクションの欠陥である。この欠陥を悪用する未認証のリモート攻撃者は、ユーザー操作を必要とすることなく、脆弱な ColdFusion サーバ上で任意のオペレーティング・システム・コマンドを実行する可能性がある。インターネットへ公開されたサーバにおいては、この脆弱性を悪用する攻撃者により、ホストが完全に乗っ取られる可能性がある。

Adobe は、このコマンド・インジェクションの脆弱性に加えて、eval インジェクション脆弱性 CVE-2026-48273 (CVSS 9.9) も修正している。このバグの悪用には低レベルの権限が必要だが、認証済みユーザーであれば任意のコード実行を引き起こす可能性がある。

さらに、ヒープ・ベースのバッファ・オーバーフローの脆弱性 CVE-2026-48440 (CVSS 8.1) により、コード実行ベクターを生じる可能性がある。

これらの Adobe の深刻な脆弱性への対処は、公開 Web サービス全体におけるホスト侵害の防止において不可欠である。

このアップデートでは、CVE-2026-71384 (CVSS 9.6)／CVE-2026-71387 (CVSS 8.8) などの、認可およびアクセス制御のエラーも修正されている。これらの欠陥により Denial-of-Service (DoS)／権限昇格／任意コード実行につながる可能性がある。

その他の認可に関する修正には、CVE-2026-71385／CVE-2026-25652／CVE-2026-71383 が含まれる。

Adobe Security Bulletin APSB26-90 に詳述されているように、これらの欠陥を修復するためのアップデートが、サポート対象の ColdFusion プラットフォーム全体に提供されている。

今回のリリースでは、ユーザー操作によりコード実行を引き起こす可能性がある、クロスサイト・スクリプティング (XSS) 脆弱性 CVE-2026-71386 (CVSS 8.8) も緩和されている。

その他にも、暗号化および入力検証に関する脆弱性が対処されている：

  • ハードコードされた暗号鍵 (CVE-2026-34635)：データ保護を損なう可能性がある鍵マネージメントの欠陥。
  • リスクのある暗号アルゴリズム (CVE-2026-48386)：機密性の高いシステム・メモリを露出させるアルゴリズム上の弱点。
  • 不適切な入力検証 (CVE-2026-21279)：予期しない実行状態を防止するための、入力境界チェックの不具合。

これまでに説明してきた、任意のコード実行の欠陥などを修復することで、エンタープライズ・アプリケーションを経由する脅威アクターが、他のシステムへ向けて侵入する可能性が低減される。

CVE IdentifierVulnerability TypeCVSS ScoreImpact / Exploitation Prerequisite
CVE-2026-48362OS Command Injection10.0Remote unauthenticated arbitrary code execution
CVE-2026-48273Eval Injection9.9Authenticated arbitrary code execution (low privilege)
CVE-2026-71384Incorrect Authorization9.6Application Denial-of-Service (DoS)
CVE-2026-71387Incorrect Authorization8.8Arbitrary code execution / Security bypass
CVE-2026-71386Cross-Site Scripting (XSS)8.8User interaction leading to code execution
CVE-2026-48440Heap-based Buffer Overflow8.1Arbitrary code execution under specific conditions

Adobe によると、これらの ColdFusion 脆弱性が実環境で活発に悪用されている状況は確認されていないが、認証不要の RCE を成立させる要素が存在している。Admin にとって必要なことは、Adobe のセキュリティ・アップデート の適用を遅らせないことである。

  • ソフトウェア・パッチの適用：ColdFusion 2025 をバージョン 2025.0.12 へ、ColdFusion 2023 をバージョン 2023.0.23 へアップグレードする。
  • 管理ポータルの制限：ColdFusion の管理インターフェイスを、パブリック・インターネットから直接アクセスできないよう隔離する。
  • サーバ・ログの監査：異常な OS コマンド／通常とは異なるプロセス生成／未認可の認証パターンがないか、実行ログおよび Web ログを確認する。

Adobe ColdFusion における、複数のセキュリティ脆弱性を解説する記事です。それらの脆弱性は、外部からの命令解釈や権限管理の不全に起因し、未認証の第三者による遠隔からのシステム制御や不正な処理の実行、サービス停止といった甚大な損害が生じる恐れがあります。企業用の運用基盤として広範囲で使われている製品であるため、外部公開環境に配置された構成での被害の波及が心配されます。対策として、修正版への早期切り替え／管理画面に対するアクセス遮断／実行記録の確認が挙げられます。システムを安全に利用するためにも、一連の脆弱性への速やかな対応が推奨されます。