Adobe Experience Manager Forms の設定不備で RCE（悪用確認済み）

Critical（CVSS 10.0）に分類されるAdobe Experience Manager (AEM) Formsの脆弱性です。Adobe Experience Manager の 6.5.23 以前に設定不備（Misconfiguration）の脆弱性があり、任意コード実行に至る。Adobe は「攻撃者はこれを利用してセキュリティ機構を回避しコードを実行できる」「悪用にユーザー操作は不要で、スコープが変わる」と記述している。NVD の CPE は Experience Manager Forms の 6.5.23.0 以下で、対象は AEM Forms である。CVSS は CNA の Adobe による 10.0 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。認証不要・ユーザー操作不要・スコープ変更ありで機密性・完全性・可用性すべてが High という、CVSS 3.1 で理論上の上限に張り付いた評価である。CWE は CWE-863（不適切な認可）。是正は Adobe の速報 APSB25-82 に示された更新である。NVD の参照には第三者（SL Cyber の Assetnote 研究チーム）による解析記事が Exploit として載っており、本番環境で Struts の devMode が有効なままであることを突く事前認証の問題として扱われている。CISA KEV には 2025-10-15 に収載され、是正期限は 2025-11-05、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

まず自分の環境が AEM Forms を使っているかを確認する。AEM の中でも対象は Forms のアドオンを入れた構成なので、AEM Sites だけを使っている環境は該当しない。判定は AEM 6.5 のサービスパック適用状況と Forms アドオンの導入有無で、6.5.23 以前であれば該当として扱う。次に露出を見る。この種の脆弱性は認証不要で成立するため、AEM Forms のエンドポイントがインターネットから直接叩ける状態かどうかが被害の分かれ目になる。Dispatcher やリバースプロキシ、WAF の設定を見て、公開すべき配信系のパス以外（管理系や内部のアプリケーションパス）が外から到達できていないかを確認し、アクセスログに不審な POST が残っていないかを併せて調べる。すぐ更新できない場合の緩和は、この経路を閉じる方向、すなわち該当エンドポイントを前段で遮断し、AEM Forms のインスタンスを社内ネットワークと VPN の内側に閉じ込めることである。設定不備が原因である以上、本番環境で開発用の設定（第三者の解析が指摘している Struts の devMode の類）が有効になっていないかを点検することも実質的な対策になる。完了条件は、（1）APSB25-82 に示された更新が適用されていること、（2）AEM Forms が不要にインターネットへ露出していないこと、（3）KEV 収載＝実際に悪用されているので侵入痕跡の確認が済んでいることの3点である。痕跡確認では、アプリケーションサーバのアクセスログに不審なリクエストが無いか、web root やアプリの配備先に見覚えの無いファイル（ウェブシェル）が無いか、crx リポジトリに知らない利用者や権限付与が増えていないか、サーバ上に不審なプロセスや外向き通信が無いかを見る。痕跡が出た場合は、AEM の管理者資格情報、データストアや外部連携の認証情報、証明書の秘密鍵を再発行する。是正期限 2025-11-05 は既に過ぎているため、未対応なら期限超過として扱う。

Adobe Experience Manager (AEM) Forms を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-54253）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/05 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。