JVN iPediaは2026年10月15日、AdobeのC2PA関連製品に関する脆弱性情報を掲載しました。4件の脆弱性があり、サービスやアプリケーションの停止、扱う情報の一部書き換えにつながる恐れがあります。対象となる3製品を利用する会社は、開発担当や委託先とともにバージョンと対策を確認してください。
停止につながる2件は深刻度「重要」
CVE-2026-100138は、処理に使うリソースの消費を適切に制御できない脆弱性です。JVN iPediaによると、リソースが枯渇し、サービスを利用できなくなる恐れがあります。ネットワーク経由で攻撃できると評価されています。
CVE-2026-100139も、リソース消費の制御不備に関するものです。悪用されると、アプリケーションが完全に停止する恐れがあります。攻撃に特権や利用者の操作は不要と評価されています。
深刻度を示す指標「CVSS v3」の基本値は、いずれも7.5で「重要」です。
今回の対象製品とバージョンは、次のとおりです。
- c2pa-web：0.15.3未満
- C2PA：0.91.1未満
- C2PA Tool：0.28.1未満
4件とも、対象製品とバージョンとして上記の3製品・対象版が示されています。詳細は個別のベンダ情報で確認してください。
書き込み権限や情報の書き換えに関わる2件も
CVE-2026-102501は、入力内容の検証不備に関する脆弱性です。セキュリティ対策を回避され、限定的な書き込み権限を得られる恐れがあります。
CVE-2026-102502は、デジタル署名の検証不備に関する脆弱性です。悪用により、扱う情報の一部が書き換えられる恐れがあります。
この2件のCVSS v3基本値は、いずれも5.3で「警告」です。どちらも攻撃に特権や利用者の操作は不要と評価されています。対応を検討する際は、停止による業務への影響だけでなく、情報の書き換えに関わる問題としても扱う必要があります。
JVN iPediaは、ベンダ情報を確認して適切な対策を取るよう案内しています。参照先には、Adobeのセキュリティ情報APSB26-163が挙げられています。対象版の一覧と対策内容を分けて確認し、実施する作業を決めてください。
影響する会社・しない会社
- 影響する: c2pa-web 0.15.3未満、C2PA 0.91.1未満、C2PA Tool 0.28.1未満を利用する会社は、今回の4件の対象です。製品名だけでなく、実際に使っている版まで照合してください。
- 影響しない: 上記3製品の対象版を利用していない会社は、今回の4件について資料に明示された対象条件には該当しません。対象製品の詳細はベンダ情報で確認してください。
Adobe製品を使っているという理由だけで、すべての製品を対象とみなす必要はありません。一方、利用する版が分からない状態では、対象外とも判断できません。開発担当や委託先から回答を集める際は、「利用なし」と「未確認」を分けて記録すると、確認漏れを防ぎやすくなります。
情シスが今日やること
- 本日中を目安に、3製品の利用状況を確認します。 IT資産台帳や開発側の依存関係一覧で、c2pa-web、C2PA、C2PA Toolの名称と版を調べてください。委託先が管理している場合は、担当窓口へ同じ項目の回答を求めます。
- 確認した版を、4件共通の対象条件と照合します。 c2pa-webは0.15.3未満、C2PAは0.91.1未満、C2PA Toolは0.28.1未満が対象です。確認結果には製品名、現在の版、利用するシステムを記録します。
- 対策を決める前に、APSB26-163を確認します。 個別のJVN iPedia情報とベンダ情報を照合し、対象製品の詳細と必要な作業を確認してください。対象版の境界だけで判断せず、実施する対策と確認方法を整理します。
- 対象が分かった段階で、関係者に対応予定を共有します。 開発担当、運用担当、対象システムの業務責任者に、対象製品と版、停止や書き換えの恐れ、対策予定を伝えます。未確認のものには確認担当と回答期限を決め、対策後にも実際の版を確認して記録してください。
