Adobeは2026年10月13日の定例更新で、Webアプリケーションの開発・実行基盤「ColdFusion」の脆弱性32件を修正しました(セキュリティ速報APSB26-144)。このうち2件はCVSSが最大の10.0で、認証なしに悪用される恐れがあります。悪用は確認されていませんが、公開サーバーは最優先での更新が必要です。
ここでは、何が修正されたのか、なぜ公開サーバーで急ぐべきか、情シスが今日やることを、Adobeの公式発表から整理します。
何が見つかったのか
Adobeのセキュリティ速報APSB26-144によると、ColdFusionで32件の脆弱性が修正されました。内訳はCritical(重大)10件、High(高)21件、Medium(中)1件です。
ColdFusionの要点と対応(編集部作成)作成: 編集部 / もとの資料: 情シスのミカタ編集部
このうち、特に深刻なのが次の2件です。いずれもCVSSが最大の10.0です。
- CVE-2026-105899: 危険な種類のファイルの無制限アップロード(CWE-434)。任意コード実行につながる恐れがあります。
- CVE-2026-106622: サーバー側のリクエスト偽造(SSRF、CWE-918)。権限昇格につながる恐れがあります。
2件のCVSSベクトルは、いずれも攻撃経路がネットワーク(AV:N)、権限不要(PR:N)、利用者の操作不要(UI:N)です。つまり、インターネット越しに、ログインせずに狙える形です。
対象はColdFusion 2025(2025.0.13以前)と2023(2023.0.25以前)で、対象プラットフォームは「すべて(All)」です。修正版は2025.0.14と2023.0.26です。
なぜ今、注意なのか
Adobeは、今回修正した問題について「実環境での悪用は確認していない(Adobe is not aware of any exploits in the wild)」としています。ただし、速報全体の優先度はPriority 2、修正版の適用の優先度は1(できるだけ早く適用)と評価されています。
ColdFusionは、Webサイトや業務システムの基盤として、インターネットに公開されたサーバーで使われることが多い製品です。公開サーバーは攻撃者に探索されやすく、最大深刻度の脆弱性は、修正が出た後に悪用が試みられることがあります。公開しているColdFusionサーバーは、最優先で更新してください。
影響する会社・しない会社
関係するのは、自社や委託先が、ColdFusionでWebサイト・Webアプリ・業務システムを運用している会社です。特に、インターネットに公開しているColdFusionサーバーは最優先の対象です。
ColdFusionを使っていない会社は、今回の速報(APSB26-144)の直接の対象ではありません。なお、今回の2026年10月13日の更新にAcrobat/Readerは含まれていません。ほかの製品(Photoshop・Bridge・Substance 3D製品・FrameMaker・Dimension・Adobe Commerceなど)も同じ日に更新が出ています。使っている製品があれば、Adobe Trust Centerで自社のバージョン向けの速報を確認してください。
情シスが今日やること
- ColdFusionを使っているサーバー(自社・委託先)を洗い出し、バージョンを確認する
- 公開しているColdFusionサーバーから優先して、修正版(2025.0.14 / 2023.0.26)に更新する
- すぐに更新できない場合は、サーバーをインターネットに直接公開しない、Adobeのロックダウン(セキュリティ強化)の手引きに沿って設定を見直す
- ECでAdobe Commerce(Magento)を使っている場合は、Adobe Trust Centerで自社バージョン向けの最新の速報を確認する
- デザイン部門のPhotoshopやSubstance 3Dなどは、通常のCreative Cloudの更新で順次適用する(いずれも悪意あるファイルを開くことが前提のため、優先度は高くありません)
- 公開サーバーのログで、見覚えのないファイルのアップロードや不審なアクセスがないか確認する
書かれていないこと
今回の2026年10月13日の各製品のCVEが、CISAの「悪用が確認された脆弱性カタログ(KEV)」に載っているかは、本記事の時点では確認していません。Adobe自身は今回の更新について悪用は未確認としています。
なお、実際に悪用されたAdobe Commerceのゼロデイ(CVE-2026-75650・APSB26-146)は、2026年9月の別の緊急更新です。今回の10月の定例更新とは別のものなので、取り違えないよう注意してください。新しい情報が出たら、内容を更新します。
