Adobeは、ColdFusion 2025およびColdFusion 2023向けに重大なセキュリティアップデートを公開しました。今回の更新では17件の脆弱性に対処しており、これらは任意コード実行、権限昇格、セキュリティ機能の回避、サービス拒否(DoS)攻撃、メモリ情報の露出を引き起こす可能性があります。
Cloudsecurity services
この更新はAPSB26-90として追跡されており、2026年8月11日に公開されました。Adobeはこれを優先度1(Priority 1)と評価しており、各組織は緊急事項として対応を優先すべきとしています。
本記事の公開時点で、Adobeによると、これらの脆弱性が実際の攻撃で悪用された事例は確認されていないとのことです。
Adobe ColdFusionの重大な脆弱性
今回の更新は、ColdFusion 2025のバージョン2025.0.11以前、およびColdFusion 2023のバージョン2023.0.22以前が対象で、サポートされているすべてのプラットフォームに影響します。
管理者には、ColdFusion 2025の環境をバージョン2025.0.12に、ColdFusion 2023の環境をバージョン2023.0.23にアップグレードすることが推奨されています。
これらの脆弱性の広範さと深刻さを踏まえると、業務アプリケーションや管理ポータル、データベース連携のワークロードを多くホストしているインターネット公開型のColdFusionサーバーにとって、パッチ適用は特に重要です。
最も深刻な脆弱性であるCVE-2026-48362は、OSコマンドインジェクションの欠陥で、CVSSスコアは10.0と評価されています。この脆弱性は、オペレーティングシステムのコマンドで使用される特殊な要素の不適切な無害化処理に起因し、認証されていない遠隔の攻撃者による任意コード実行を許してしまいます。
そのCVSSベクターは、攻撃の複雑さが低く、権限やユーザー操作を必要とせず、機密性・完全性・可用性への影響が高いことを示しています。
この脆弱性が悪用された場合、攻撃者はColdFusionサービスアカウントの権限でオペレーティングシステムのコマンドを実行できるようになり、アプリケーションの侵害、データ窃取、横方向への侵入拡大、破壊的な行為につながるおそれがあります。
Adobeはまた、CVSSスコア9.9の重大なeval(評価式)インジェクションの脆弱性であるCVE-2026-48273についても対処しました。悪用には低い権限が必要ですが、それでも任意コード実行につながり、機密性・完全性・可用性に重大な影響を及ぼす可能性があります。
もう一つの注目すべき問題として、評価9.6の不適切な認可の脆弱性CVE-2026-71384があり、これはアプリケーションのサービス拒否(DoS)につながる可能性があります。
このセキュリティ情報では、貢献した3名の研究者にも謝辞が述べられています。CVE-2026-71386についてはAnirudh Anand氏(通称a0xnirudh)、CVE-2026-71384についてはMatan Sandori氏(通称matans1)、CVE-2026-71387についてはBrennan D. St. John氏(通称brennanstjohn)です。
このセキュリティ情報では、複数の認可の不備、入力検証の弱点、暗号関連の問題、そしてヒープベースのバッファオーバーフローが指摘されています。
一部の脆弱性は悪用にローカルアクセスや高い権限、ユーザー操作、あるいは隣接ネットワークからの位置取りを必要とする場合がありますが、エンタープライズ環境においてこれらを低優先度と見なすべきではありません。
攻撃の連鎖は、認証の弱点、セキュリティ制御の回避、コード実行の欠陥を組み合わせることが可能であり、初期アクセス後の影響を増大させます。
Cloudsecurity services
Adobeは、2026年8月11日以降、社内で発見された脆弱性について、同一の深刻度評価と同じCWE分類に属し、リリースに体系的な修正が含まれている場合には、単一のCVE識別子を割り当てる場合があると述べています。
そのため、セキュリティ担当チームは、それぞれのCVEが単一の孤立した欠陥を表していると仮定するのではなく、今回の修正が複数の関連するコードパスに対する潜在的な対策であると捉えるべきです。
パッチ適用に加えて、Adobeは互換性のある最新のMySQL Javaコネクタの使用、ColdFusionのJDK/JREのLTSリリースへの更新、安全でないデシリアライゼーションに対するシリアルフィルタ保護の見直し、ColdFusionのセキュリティ関連ドキュメントおよび該当するLockdown Guideの推奨事項に従うことを推奨しています。
管理者は、公開されているインスタンスの棚卸しを優先的に行い、変更管理プロセスを通じてアップデートのテストと展開を実施し、ColdFusion Administratorへのアクセスを制限し、サービスアカウントの権限を見直し、異常なコマンド実行や認証活動、予期しないアプリケーションエラーについてログを監視する必要があります。
CVE詳細
| CVE | CWE / 脆弱性カテゴリ | 影響 | 深刻度 | CVSS |
|---|---|---|---|---|
| CVE-2026-48362 | CWE-78 OSコマンドインジェクション | 任意コード実行 | 重大(Critical) | 10.0 |
| CVE-2026-48273 | CWE-95 Evalインジェクション | 任意コード実行 | 重大(Critical) | 9.9 |
| CVE-2026-71384 | CWE-863 不適切な認可 | アプリケーションのサービス拒否(DoS) | 重大(Critical) | 9.6 |
| CVE-2026-71386 | CWE-79 クロスサイトスクリプティング | 任意コード実行 | 重大(Critical) | 8.8 |
| CVE-2026-71387 | CWE-863 不適切な認可 | 任意コード実行 | 重大(Critical) | 8.8 |
| CVE-2026-21273 | CWE-20 不適切な入力検証 | 権限昇格 | 重大(Critical) | 8.7 |
| CVE-2026-71385 | CWE-863 不適切な認可 | セキュリティ機能の回避 | 重大(Critical) | 8.4 |
| CVE-2026-34635 | CWE-321 ハードコードされた暗号鍵 | セキュリティ機能の回避 | 重大(Critical) | 8.2 |
| CVE-2026-48440 | CWE-122 ヒープベースのバッファオーバーフロー | 任意コード実行 | 重大(Critical) | 8.1 |
| CVE-2026-21279 | CWE-20 不適切な入力検証 | セキュリティ機能の回避 | 重大(Critical) | 8.1 |
| CVE-2026-25652 | CWE-863 不適切な認可 | 権限昇格 | 重大(Critical) | 7.8 |
| CVE-2026-48386 | CWE-327 危険または脆弱な暗号アルゴリズム | メモリ情報の露出 | 重大(Critical) | 7.5 |
| CVE-2026-71383 | CWE-863 不適切な認可 | セキュリティ機能の回避 | 重要(Important) | 7.3 |
| CVE-2026-48375 | CWE-863 不適切な認可 | アプリケーションのサービス拒否(DoS) | 重要(Important) | 6.5 |
| CVE-2026-48376 | CWE-116 出力の不適切な符号化・エスケープ処理 | セキュリティ機能の回避 | 重要(Important) | 5.4 |
| CVE-2026-48384 | CWE-20 不適切な入力検証 | セキュリティ機能の回避 | 重要(Important) | 4.9 |
フィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
Antivirus& Malware
翻訳元: https://gbhackers.com/adobe-coldfusion-critical-vulnerabilities-2/
