Adobe ColdFusion の入力値検証不備で任意コード実行（管理ゾーン到達が前提）

Critical（CVSS 9.6）に分類されるAdobe Adobe ColdFusionの脆弱性です。Adobe ColdFusion に入力値検証の不備があり、現在のユーザーの権限で任意のコードを実行され得る。 NVD の記述によれば、脆弱なコンポーネントは既定で管理用ネットワークゾーンに限定されており、攻撃に利用者の操作は不要である。スコープは変化（Scope: Changed）と評価されている。 CVSS の内訳を読むと、この CVE の性格がはっきりする。**AV:A（隣接ネットワーク）** であって AV:N（ネットワーク）ではない。つまりインターネットから直接叩ける前提ではなく、**管理ゾーンに到達できる位置にいることが条件**である。一方で PR:N（権限不要）・UI:N（利用者操作不要）・S:C（スコープ変化）・C:H/I:H/A:H が揃っており、その位置に立てさえすれば、認証なしで、ColdFusion のプロセス権限を越える影響まで及ぶ。9.6 という値はこの組み合わせから来ている。 実務的な意味は「境界の内側に入られた後の被害が大きい」ということである。ColdFusion は業務アプリケーションのサーバーとして社内に置かれていることが多く、管理コンソール（既定で /CFIDE/administrator/ 配下）が社内からは素通しになっている構成が珍しくない。**VPN や社内 LAN を信頼境界として運用している組織では、AV:A は「実質的に到達可能」と読むべきである。** ColdFusion は過去にも管理コンポーネント経由の重大な脆弱性が繰り返し報告されており、そのいくつかは CISA KEV に収載されている。今回の CVE は 2026-08-11 時点で KEV 未収載だが、**この製品では管理面の露出が実際に悪用に繋がってきた**という履歴を踏まえて優先度を決めるのが妥当である。

**Adobe の該当セキュリティ速報（APSB）に示された更新を適用するのが恒久対応である。** ColdFusion の修正は月次のアップデートとして配布される。自分のバージョン（2021 / 2023 / 2025 系）に対応する最新のアップデートレベルを確認し、適用する。バージョンは管理コンソール、または `cfusion/lib/version.properties`（Windows / Linux とも配置は同様）で確認できる。 **更新までの緩和は、管理コンポーネントへの到達を絞ることである。** AV:A という条件がそのまま緩和策の設計指針になる。具体的には、①管理コンソール（`/CFIDE/administrator/`）へのアクセスを管理端末の送信元アドレスだけに限定する（前段の Web サーバー・ロードバランサ・ファイアウォールのいずれでもよい）、②インターネットから ColdFusion の管理面に到達できる経路があれば直ちに塞ぐ、③Adobe が公開しているロックダウンガイドの設定を適用する。 **「既定で管理ゾーンに限定されている」を安全の根拠にしないこと。** これはあくまで既定構成の話で、リバースプロキシの設定漏れ、開発用に開けたまま忘れたポート、コンテナ間の無制限な通信などで簡単に崩れる。**実際に外から到達できないかを、社外の回線から確認する**のが確実である。 **事後の確認は Web サーバーのアクセスログと、Web 領域のファイル変更で行う。** 管理系 URL への想定外の送信元からのアクセス、`.cfm` / `.jsp` ファイルの新規作成や更新（Web シェルの設置）、ColdFusion のスケジュールタスク一覧に身に覚えのない登録が無いかを点検する。任意コード実行が成立した場合、痕跡はアプリケーションログよりファイルシステムとスケジュールタスクに残りやすい。

Adobe Adobe ColdFusion を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-48284）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。