Adobeが2026年10月の製品向けセキュリティ更新を公開し、香港のHKCERTが2026年10月14日に対象製品と版を案内しました。脆弱性の影響には、攻撃者が意図したプログラムを動かす任意コード実行や、情報漏えいがあります。情シスは制作部門の端末だけでなく、サーバーや開発用の部品も確認する必要があります。
全体評価は「中」、開発用SDKも確認
HKCERTは対象を11製品とし、全体のリスクを「中」と評価しています。そのうえで、ベンダーの詳細情報を確認し、修正を適用するよう勧めています。
全体評価だけで更新の順番を決めず、社内で使う製品と版を整理して、製品ごとの詳細情報と照合してください。端末のアプリだけを確認すると、サーバーや開発用の部品が確認対象から漏れる可能性があります。
Adobe Content Credentials SDKも更新対象です。SDKはソフトウェア開発に使う部品を指します。HKCERTは、同SDKの脆弱性にデータ改ざんや、サービスを利用できなくするサービス拒否の影響があるとしています。
Content Credentials Rust SDKはc2pa-v0.90.15以前が対象です。Content Credentials JS SDKの版番号は資料の表記では判読できないため、ベンダーの詳細情報で確認してください。開発部門には、SDKの種類と版番号に加え、どのアプリに組み込んでいるかも確認を依頼します。
日本での提供は発表には書かれていません。国内環境への適用可否や入手方法は、各製品の詳細情報で確認してください。
制作端末とサーバー側の対象版
端末側では、Adobe Bridgeの15.1.8(LTS)以前と16.0.7以前が対象です。LTSは長期サポート版を指します。Adobe FrameMakerは2022の17.0.9.866以前、2026の18.0.0.206以前が掲載されています。
このほか、Adobe Dimension 4.1.8以前、Adobe Substance 3D Designer 16.0.5以前、Adobe Substance 3D Sampler 6.0.3以前、Adobe Substance 3D Stager 3.1.8以前が対象です。
Photoshopは、資料上では「Photoshop 2026」の対象として26.11.7以前と27.10以前の両方が掲載されています。製品名だけで判断せず、端末の版番号とベンダーの詳細情報を照合してください。
サーバーやEC関連では、ColdFusion 2023の2023.0.25以前、ColdFusion 2025の2025.0.13以前が対象です。Adobe CommerceとMagento Open Sourceは2.4.9-2026-sep以前、Adobe Commerce B2Bは1.5.3-2026-sep以前が掲載されています。
AEMは、6.5 LTS Service Pack 3以前、6.5 Service Pack 25以前、Cloud Service(CS)2026.9.28187以前が対象です。
ここに挙げた番号は対象版であり、更新先の版番号ではありません。修正後の版や製品別の適用手順は、ベンダーの詳細情報で確認します。ColdFusionについては、個別の脆弱性と更新確認をまとめた記事も参照できます。
影響する会社・しない会社
- 影響する: 上記の対象版のAdobe Bridge、Photoshop、Adobe FrameMaker、Adobe Dimension、Adobe Substance 3D製品を使う会社です。利用部門と対象端末を特定します。
- 影響する: 対象版のColdFusion、Adobe Commerce、Adobe Commerce B2B、Magento Open Source、AEMを使う会社です。委託先が管理する環境も版の確認対象に含めます。
- 影響する: Content Credentials Rust SDKのc2pa-v0.90.15以前など、対象版のSDKを使う会社です。JS SDKの対象版は資料の表記では判読できないため、ベンダーの詳細情報で確認します。
- 影響しない: 今回掲載された製品・SDKを使っていない会社は、この案内に基づく更新作業の対象外です。他のAdobe製品に脆弱性がないことを示すものではありません。
対象範囲より新しい版についても、この情報だけで修正済みとは断定せず、ベンダーが示す修正後の版と照合してください。
情シスが今日やること
- 2026年10月14日の確認作業として、IT資産台帳や端末管理画面の製品一覧で、製品名と版番号を調べます。具体的な画面名や操作経路は発表には書かれていません。対象端末と、版を確認できていない端末を分けて記録します。
- サーバー担当、Webサイト担当、開発部門、運用委託先に対象製品の一覧を送り、利用の有無と版番号の回答を依頼します。SDKはRustとJSを区別し、組み込み先も報告してもらいます。
- 更新前に、各製品のベンダー詳細情報で対象版、修正後の版、適用方法を照合します。Photoshopの2つの版表記と、判読できないJS SDKの対象版は、未確認事項として残します。
- 対象環境ごとに更新担当と適用予定日を決め、利用部門や委託先へ知らせます。発表には適用期限が書かれていないため、社内の対応期限を設定してください。適用後は版番号を再確認し、台帳に記録します。
