JVN iPediaは2026年10月16日、Adobe Substance 3D Designerの脆弱性情報を掲載しました。関連する4件には、現在のユーザー権限で任意のコードを実行されたり、メモリ内の機密情報が漏えいしたりする恐れがあります。影響対象として示されているのは16.0.7未満で、利用企業は端末ごとの版とベンダの対策情報を確認する必要があります。
ファイルを開く操作が攻撃のきっかけに
4件はいずれも、悪用に利用者の操作が必要です。利用者の操作なしに発生する問題としては案内されていません。更新の確認と併せて、利用者へファイルの取り扱いを知らせることが対応の入口になります。
最も深刻度が高いのは、CVE-2026-103821です。確保した領域の外へデータを書き込む「境界外書き込み」の問題で、現在のユーザー権限で任意のコードが実行される恐れがあります。深刻度を示すCVSS v3基本値は7.8で、評価は「重要」です。不正なファイルを開くなどの操作が悪用の条件となります。
CVE-2026-103822は、領域の外のデータを読み取る「境界外読み取り」の問題です。不正なファイルを開くと、メモリ内の機密情報が漏えいする恐れがあります。こちらのCVSS v3基本値は5.5で、評価は「警告」です。
残る2件はアプリ停止の恐れ、対策はベンダ情報を確認
CVE-2026-103823は、処理用のメモリ領域からデータがあふれる「スタックベースのバッファオーバーフロー」です。CVE-2026-103824は、有効な参照先がない状態でメモリにアクセスする「NULLポインタ参照」の問題です。
この2件は、不正なファイルを開く操作によってアプリがクラッシュし、利用できなくなる恐れがあります。CVSS v3基本値はいずれも5.5で、評価は「警告」です。情報漏えいだけでなく、作業中のアプリが停止するリスクも確認対象になります。
JVN iPediaはベンダ情報に基づく対策を案内し、Adobeのセキュリティ情報「APSB26-169」を参照先に挙げています。今回の取材資料には、具体的な更新操作や修正版の詳細は含まれていません。16.0.7未満という対象条件だけで更新先を決めず、APSB26-169で対策内容を確認してください。
影響する会社・しない会社
- 影響する: Adobe Substance 3D Designer 16.0.7未満を利用している会社です。契約の有無だけでなく、実際に端末へ入っている版を確認する必要があります。
- 影響する: 対象版の利用者が業務でファイルを開く会社です。4件とも利用者の操作が悪用の条件に含まれるため、更新担当者だけでなく利用者への連絡も必要です。
- 影響しない: Adobe Substance 3D Designerを利用していない会社は、今回示された製品の対象外です。他のAdobe製品を使っているだけで、今回の対象だと判断する必要はありません。
- 影響しない: 16.0.7未満の導入がないと確認できた会社は、掲載された版の条件には該当しません。ただし、他の脆弱性の有無まで示すものではありません。
情シスが今日やること
- 今日の確認対象として、社内のIT資産台帳や導入ソフト一覧からAdobe Substance 3D Designerを探します。端末名、利用者、導入版を並べ、版が不明な端末は利用者に確認を依頼してください。管理画面の具体的な確認箇所は、今回の資料には書かれていません。
- 16.0.7未満の端末を抽出し、JVN iPediaの参照先にあるAPSB26-169で対象条件と対策を確認します。更新先や適用手順は、ベンダ情報を確認してから決めてください。
- 対象端末の利用者と所属部門の責任者へ、ファイルを開く操作が悪用の条件になることを知らせます。対策が済むまでは、出所を確認できないファイルを開かないよう依頼し、更新のために作業を止められる日時も確認します。
- 今日中を目安に、対象端末ごとの対策担当者と実施予定日を決めます。これは社内対応の目安であり、公表された適用期限ではありません。対策後は導入版を再確認し、未対応端末と完了端末を分けて記録してください。
