Adobe ColdFusion パストラバーサル（任意コード実行）

情報取得日: 2026/07/07／最終確認: 2026/08/10・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-48282
製品	Adobe / ColdFusion
CVSS	10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
種別 (CWE)	CWE-22 パストラバーサル
登録／公開日	2026/07/07
KEV 期限	2026/07/10 まで（米国連邦機関向け目安）
推奨対応	ベンダー指示（Adobe APSB26-68）に従って緩和策を適用（BOD 26-04 準拠）
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-48282

概要

Adobe ColdFusion（2025.9・2023.20 以前）に存在するパストラバーサルの脆弱性。認証不要・ユーザー操作不要でリモートから悪用可能で、現在のユーザー権限で任意コード実行に至る恐れがある。CISA KEV に登録され、実際に悪用が確認されている。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）参照先も共通です（一次情報）。下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	EC2/ECS 上で自己管理する ColdFusion を Adobe APSB26-68 の指示に従い更新 AWS のマネージドサービスとしての ColdFusion 提供はなく、ユーザー責任範囲（EC2/ECS の自己管理アプリ）。AWS 固有の修正提供は確認できず。参照リンク
GCP	パッチあり（アプリ更新）	GCE/GKE 上の ColdFusion を APSB26-68 に従い更新 GCP 固有のパッチ提供は確認できず。自己管理アプリのため利用者側でのパッチ適用が必要。参照リンク
Azure	パッチあり（アプリ更新）	Azure VM 上の ColdFusion を APSB26-68 に従い更新 Azure 固有のパッチ提供は確認できず。自己管理アプリのため利用者側でのパッチ適用が必要。参照リンク
Linux	パッチあり（アプリ更新）	Linux 上の ColdFusion を Adobe 提供の更新プログラムで更新 ColdFusion は Adobe 独自製品でディストリのパッケージではないため、Adobe 公式の更新を適用する。ディストリ側 CVE トラッカーの対象外。参照リンク

解決の方向性（パッチ／回避策／代替）

Adobe セキュリティ速報 APSB26-68 の指示に従い最新パッチを適用するのが基本方針。ColdFusion 管理コンソールをインターネットに直接公開しない、WAF で不審なパストラバーサルパターンを遮断する等の回避策が併用可能。

よくある質問（CVE-2026-48282）

CVE-2026-48282（ColdFusion）の影響は？

Critical（CVSS 10.0）に分類されるAdobe ColdFusionの脆弱性です。Adobe ColdFusion（2025.9・2023.20 以前）に存在するパストラバーサルの脆弱性。認証不要・ユーザー操作不要でリモートから悪用可能で、現在のユーザー権限で任意コード実行に至る恐れがある。CISA KEV に登録され、実際に悪用が確認されている。

CVE-2026-48282 の対応方法・回避策は？

自分の環境が CVE-2026-48282 の影響を受けるか確認するには？

Adobe ColdFusion を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-48282）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-48282 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/07/10 です。推奨される対応: ベンダー指示（Adobe APSB26-68）に従って緩和策を適用（BOD 26-04 準拠）