Adobe ColdFusionの脆弱性CVE-2026-48282の悪用
Adobeのセキュリティ情報APSB26-68によると、同社はColdFusion 2025と2023のパストラバーサルの脆弱性CVE-2026-48282が、ColdFusionを標的とした限定的な攻撃〔注1〕で実際に悪用されたことを認識している［1］。CISAはこの脆弱性をKnown Exploited Vulnerabilities（KEV）カタログに加え、対応の期限を2026年7月10日とした［8］。
脆弱性の内容
ColdFusionは、CFML言語でWebアプリケーションを開発するためのAdobeの製品である［10］。APSB26-68は、CVE-2026-48282を含む13件のCVEを挙げた〔注2〕［1］。深刻度は12件がクリティカル、1件が重要である［1］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS基本値（Adobe） | 10.0 | ［1］ |
| CVSSベクター | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | ［1］ |
| CWE | CWE-22（パストラバーサル） | ［1、7］ |
| 深刻度 | クリティカル | ［1］ |
| 悪用されたときの影響 | 任意のコード実行 | ［1］ |
AdobeはCVE記録の説明で、この脆弱性は現在のユーザーの権限で任意のコード実行に至るおそれがあり、悪用に利用者の操作は要らないとした［7］。
Resecurityの7月6日の解説では、この脆弱性はColdFusionのRemote Development Services（RDS）のFILEIOハンドラにある［13］。認証されていない攻撃者がWebルートを含むサーバー上の任意の場所にファイルを書き込め、認証なしのリモートコード実行に至る［13］。
watchTowrは解析で、RDSは既定で無効であり、解析した脆弱性に到達するにはRDSを有効にする必要があると書いた［12］。同社の試験では、RDSの認証も無効にする必要があった［12］。watchTowrは、任意のファイル書き込みがCVE-2026-48282に、任意のファイル読み取りがCVE-2026-48313に割り当てられたと推測した［12］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | CVE-2026-48282が予約された | ［7］ |
| 2026年 | Adobe | APSB26-68と修正版を公開した | ［1、5、6］ |
| 2026年 | watchTowr | APSB26-68の解析を公開した | ［12］ |
| 2026年 | KEVIntel | ハニーポットのセンサーで悪用の試みを検知した | ［16］ |
| 2026年 | カナダのサイバーセキュリティセンター | Adobeのセキュリティ情報を扱う告知AV26-647を出した | ［11］ |
| 2026年 | CISA | CVE-2026-48282をKEVカタログに加えた | ［7、8］ |
| 2026年 | JPCERT/CC | Weekly Reportで、開発者が悪用する攻撃を確認していると伝えた | ［9］ |
| 2026年 | Adobe | 英語版のセキュリティ情報を更新した | ［1］ |
| 2026年 | CrowdSec | 検知ルールを出した | ［14］ |
| 2026年 | CrowdSec | 自社のネットワークで最初の悪用を観測した | ［14］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| ColdFusion 2025 | Update 9以前 | Update 10 | ［1］ |
| ColdFusion 2023 | Update 20以前 | Update 21 | ［1］ |
Adobeは、どちらの製品もすべてのプラットフォームが対象だとした［1］。Help Net Securityは、Shadowserver Foundationがインターネットに面した約750のColdFusionサーバーを追跡していると報じた［16］。そのうち脆弱な版を動かすサーバーとRDSを有効にしたサーバーの数は分からないと伝えた［16］。
悪用の状況
SecurityWeekは、Adobeが公開したときには既知の悪用を把握していないと記していたと報じた〔注3〕［15］。同じ記事は、脆弱性情報の基盤KEVIntelの話として、公開から2時間以内にCVE-2026-48282の悪用が始まったと伝えた［15］。
Help Net Securityの記事によると、KEVIntelのセンサーが悪用の試みを検知したのは、watchTowrがColdFusionの脆弱性の技術解析を公開した数分後だった［16］。
Resecurityは、CVE-2026-48282の悪用を追跡していると書いた［13］。CrowdSecは報告で、この脆弱性が7月24日までの4日間で、同社の区分の「Insufficient Data」から「Early Exploitation」に上がったとした［14］。その間に107の一意なIPアドレスが公開サーバーを探り、攻撃の基盤はアイルランド、米国、南アフリカ、シンガポールが上位を占める［14］。
カナダのサイバーセキュリティセンターの告知AV26-647では、更新1で、公開情報の報告ではCVE-2026-48282が悪用されているとする記述が加わった［11］。更新2では、CISAがこの脆弱性をKEVに加えたことが加わった［11］。NHS England Digitalは、この脆弱性の悪用を扱うサイバー警告を掲載した［23］。
CISAはCVE記録に載せたSSVCの評価で、Exploitationをactive、Automatableをyes、Technical Impactをtotalとした［7］。CISAは、KEVカタログへの追加を告知するページを掲載した［22］。
修正と回避策
Adobeは、どちらの修正版にも優先度1を付けた［1］。
NVDに載ったKEVの項目によると、CISAが求める対応は、開発元の指示に従って緩和策を適用し、CISAのBOD 26-04と「Forensics Triage Requirements」に従うことである［8］。クラウドサービスにはBOD 26-04の該当する指針を当て、緩和策が無ければ製品の使用をやめることも求めている［8］。
watchTowrは解析で、修正版ではファイル名がRdsFileSecurity.resolveCanonicalを通るようになったと書いた［12］。これにより、絶対パス、ディレクトリトラバーサルの文字列、RDSから許可された範囲の外に解決されるパスを遮る［12］。
未公表の事項
- Adobeが認識した攻撃の手口と経路
- 攻撃を受けた組織の数と業種
- 攻撃者の帰属
- Adobeが悪用を把握した時期と、セキュリティ情報に悪用を書き足した日
- CVE-2026-48282の報告者（CVE記録は発見の区分を外部（EXTERNAL）とした［7］）
注
出典
当事者
- ［1］Adobe Inc.『Security update available for Adobe ColdFusion | APSB26-68』（2026年6月30日公開、2026年7月13日更新）
- ［3］アドビ株式会社『Adobe ColdFusion に関するセキュリティアップデート公開 | APSB26-68』（2026年6月30日公開、2026年7月22日更新）
- ［5］Adobe Inc.『ColdFusion (2025 release) Update 10』（2026年6月30日公開）
- ［6］Adobe Inc.『ColdFusion (2023 release) Update 21』（2026年6月30日公開）
公的機関
- ［7］The MITRE Corporation『CVE-2026-48282』（2026年6月30日公開、2026年10月7日更新）
- ［8］National Institute of Standards and Technology『CVE-2026-48282』（2026年6月30日公開、2026年10月25日更新）
- ［9］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC WEEKLY REPORT 2026-07-08』（2026年7月8日公開）
- ［11］Canadian Centre for Cyber Security『Adobe security advisory (AV26-647)』（2026年7月2日公開、2026年7月7日更新）
- ［22］Cybersecurity and Infrastructure Security Agency『CISA Adds One Known Exploited Vulnerability to Catalog』（2026年7月7日公開、保存記録のみ） 保存記録
- ［23］NHS England Digital『Active Exploitation of CVE-2026-48282 in Adobe ColdFusion（cc-4808）』（公開日不明、保存記録のみ） 保存記録
調査・観測
- ［12］watchTowr『It’s 37oC, And All We Can Think About Is ColdFusion (Adobe ColdFusion Security Bulletin APSB26-68 CVE Bonanza)』（2026年7月2日公開）
- ［13］Resecurity, Inc.『CVE-2026-48282: Adobe ColdFusion RDS Path Traversal Leading to RCE』（2026年7月6日公開）
- ［14］CrowdSec『CVE-2026-48282: Adobe ColdFusion RDS Path Traversal to RCE Under Active Exploitation』（2026年8月1日公開、2026年10月27日更新）
報道機関
- ［15］SecurityWeek『Critical Adobe ColdFusion Vulnerability Exploited in Attacks』（2026年7月7日公開）
- ［16］Help Net Security『Attackers exploit critical Adobe ColdFusion vulnerability (CVE-2026-48282)』（2026年7月7日公開、2026年7月8日更新）
- ［18］Security NEXT『「Adobe ColdFusion」に複数の深刻な脆弱性 - 早急に対応を』（2026年7月1日公開）
- ［19］Security NEXT『「ColdFusion」や「Langflow」の脆弱性悪用に注意喚起 - 米当局』（2026年7月8日公開）
背景資料
- ［10］Adobe Inc.『Adobe ColdFusion Family』（公開日不明、2026年11月4日閲覧）
更新記録
- 2026年7月11日：公開した。
- 2026年7月13日：Adobe Inc.の英語版のセキュリティ情報の7月13日の更新（出典1）を「時系列」に加え、リードを改めた。
- 2026年7月22日：アドビ株式会社の日本語版のセキュリティ情報の7月22日の更新（出典3）で、悪用の規模の語の違いを「注」に加えた。
- 2026年8月1日：CrowdSecの報告（出典14）を加え、「時系列」と「悪用の状況」を改めた。
- 2026年10月7日：CVE記録の10月7日の更新（出典7）で、CISAの評価を「悪用の状況」に加えた。
- 2026年10月25日：NVDの記録の10月25日の更新（出典8）で、KEVの項目を「修正と回避策」に加え、リードを改めた。
- 2026年10月27日：CrowdSecの報告の10月27日の更新（出典14）で、「悪用の状況」を改めた。