JVN iPediaは2026年10月19日、Adobe Photoshopの脆弱性情報を掲載しました。今回掲載されたのは、境界外書き込みと呼ばれる問題4件です。対象版を使う会社は、利用端末を洗い出し、アドビのセキュリティ情報に沿って対策を確認する必要があります。
対象は26.11.8未満と27.0以上27.11未満
掲載された脆弱性の識別番号は、CVE-2026-100111、CVE-2026-100112、CVE-2026-104346、CVE-2026-104347です。いずれも、本来の範囲を超えてデータを書き込む「境界外書き込み」の問題です。
CVE-2026-100111の情報では、影響対象としてAdobe Photoshop 26.11.8未満と、27.0以上27.11未満が示されています。単に「Photoshopを使っているか」だけでなく、どの版を使っているかまで確認することが、対象端末を絞る出発点になります。
JVN iPediaは、ベンダー情報としてアドビのセキュリティ情報「APSB26-158」を案内し、内容を確認して適切に対策するよう求めています。対象範囲の数字だけで更新先を決めず、具体的な更新先や適用方法は、このベンダー情報で確認してください。
ファイルを開く操作が悪用の条件
CVE-2026-100111は、悪用に利用者が悪意あるファイルを開く操作を必要とします。JVN iPediaの評価は、深刻度を示すCVSS v3基本値で7.8、「重要」です。
同情報では、ソフトが扱う全情報の外部への漏えいや改ざん、ソフトの完全な停止につながる恐れが示されています。また、CVE-2026-104346では、現在の利用者の権限で任意のコードが実行される恐れがあるとされています。
情シスの対応は、更新の確認だけでは終わりません。ファイルを開く操作が悪用の条件となるため、対象端末の利用者に、受け取ったファイルの扱いと、判断に迷った際の連絡先を合わせて伝えてください。これは更新に代わる対策ではなく、対策を確認する間の運用として整理します。
影響する会社・しない会社
- 影響する: Adobe Photoshop 26.11.8未満を業務端末で使っている会社。利用者単位ではなく、導入端末ごとに版を確認する必要があります。
- 影響する: Adobe Photoshop 27.0以上27.11未満を使っている会社。26系だけを点検して終わらせないようにします。
- 影響しない: Adobe Photoshopを使っていない会社は、今回示された製品・版の点検対象には入りません。
- 影響しない: 26.11.8や27.11以降は、CVE-2026-100111について今回示された対象範囲には含まれません。ただし、それだけで他の脆弱性もないと判断することはできません。
情シスが今日やること
- 利用端末と利用版の棚卸しに着手する。 IT資産台帳やソフトウェアの導入記録から、Adobe Photoshopを使う端末と利用者を抽出します。版の記録がない端末は、利用者に確認を依頼します。具体的な管理画面やメニューの場所は、今回の資料には示されていません。
- 取得した版を二つの対象範囲と照合する。 26.11.8未満と27.0以上27.11未満を分けて記録します。版が不明な端末は「対象外」にせず、確認担当者と回答期限を決めて残してください。
- 更新作業の前にAPSB26-158を確認する。 端末管理担当者が、対象製品・版、更新先、適用方法を照合します。更新後は実際の版を再確認し、端末ごとに確認結果を台帳へ記録してください。
- 対象利用者へ、次に受領ファイルを開く前の対応を知らせる。 利用者と所属部門の責任者に、対象版、ファイルを開くことが悪用の条件である点、対策の確認状況を伝えます。出所や内容に疑問があるファイルは開かず、情シスへ確認する運用を案内してください。
