今回Photoshopに配信されたパッチは異例の重みを持つものです。修正された脆弱性のほぼすべてが外部コードの実行につながるためです。Adobeは、WindowsおよびmacOS向けのPhotoshop 2025と2026を対象に、アップデートAPSB26-130を公開しました。このセキュリティ情報では、緊急度「Critical」の脆弱性8件が対処されています。うち7件は任意コード実行を可能にするものであり、残る1件はセキュリティ機構の回避を許すものです。
整数オーバーフローに起因するRCE4件
リモートコード実行の脆弱性のうち4件は、整数オーバーフローに起因するものです。CVE-2026-82007、CVE-2026-75863、CVE-2026-75862、CVE-2026-75771がこれに該当し、いずれもCVSS 3.1で7.8のスコアを受けています。このうち後の3件はTrendAI Zero Day InitiativeのBrandon Evans氏がAdobeに報告したもので、最初の1件はyjdfyという仮名の研究者によって発見されました。
メモリ破損に起因するRCEがさらに3件
リモートコード実行の脆弱性は、さらに3件がメモリ破損に起因します。CVSS 3.1で7.8と評価されたCVE-2026-82006は、ヒープベースのバッファオーバーフローを引き起こすもので、Jony氏(jony_juice)により報告されました。同じく7.8のスコアが付いたCVE-2026-75631およびCVE-2026-82005は、境界外書き込みに関わるものです。前者についても、報告者はyjdfy氏とされています。これら7件の脆弱性はいずれもユーザーの操作を必要とし、Adobeは具体的にどのファイル形式が関係するかについては明らかにしていません。
これまでにもPhotoshopの脆弱性が、細工されたPSDファイルを通じたコード実行を可能にした例はありますが、今回の一連のCVEについても同様のシナリオが当てはまるという根拠はありません。APSB26-130で開示されているのは、脆弱性の分類とCVSSベクターのみです。したがって、これら7件のRCEは、ネットワーク経由でユーザー操作なしに悪用できるものではありません。公開された評価が示す通り、攻撃にはローカルアクセスとユーザー操作が必須となっています。
最高スコアはセキュリティ機構の回避に関する脆弱性
今回のセキュリティ情報の中で最も高いスコアを受けたのは、Kieran氏(kaiksi)が報告したCVE-2026-76199で、CVSS 3.1で8.6と評価されています。この脆弱性は、検索パス要素の制御不備に起因するもので、セキュリティ機構の回避を許すものです。
影響を受けるバージョンと対応方法
影響を受けるのは、Photoshop 2026のバージョン27.6以前、およびPhotoshop 2025のバージョン26.11.6以前です。修正はそれぞれバージョン27.7および26.11.7に組み込まれています。Adobeは今回のリリースに優先度「Priority 3」を割り当てています。これは、これまでこの種の攻撃の標的となることが少なかった製品に適用される区分です。9月8日の時点で、同社はこれら8件の脆弱性が実際に悪用された事例は確認していないとしています。
Adobeは、Creative Cloud Desktopアプリケーションを通じてPhotoshopを更新するようユーザーに推奨しています。管理された企業環境においては、管理者がAdmin Consoleを通じて新しいビルドを展開することも可能です。「Priority 3」という区分は、個々の脆弱性が持つ「Critical」という深刻度と矛盾するものではありません。優先度のスケールは過去の攻撃実績を踏まえた導入の緊急性を示す指標であるのに対し、「Critical」という区分は悪用が成功した場合に生じ得る被害の大きさを表すものだからです。
翻訳元: https://meterpreter.org/adobe-photoshop-apsb26-130-rce/
