Adobe ColdFusion の不適切な認可による権限昇格（CVSS 9.3・隣接ネットワークから）

Critical（CVSS 9.3）に分類されるadobe ColdFusionの脆弱性です。Adobe ColdFusion に不適切な認可（CWE-863）の脆弱性があり、権限昇格に至る。NVD の記述によれば、攻撃者はこの脆弱性を悪用して認可されていない読み取りと書き込みのアクセスを得られる。利用者の操作は不要（UI:N）。脆弱なコンポーネントは既定では管理用のネットワークゾーンに限定されている、と Adobe が明記している。NVD 掲載の CVSS 3.1 基本値は 9.3（Critical）で、ベクタは AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N。**AV:A（隣接ネットワーク）である点が重要で、インターネットから直接届く前提の値ではない**。Scope が Changed（S:C）であることと、認証が不要（PR:N）であることが 9.3 を押し上げている。修正は Adobe のセキュリティ速報 APSB26-82 で提供される。2026年8月13日時点で CISA KEV カタログには収載されていない（カタログ版 2026.08.11 で確認）。NVD の vulnStatus は Analyzed。

この CVE で先に見るべきは CVSS の 9.3 ではなく **AV:A** である。攻撃元区分が Adjacent（隣接）なので、攻撃者は対象と同じネットワークセグメントに到達している必要がある。加えて Adobe は「脆弱なコンポーネントは既定で管理用ネットワークゾーンに制限されている」と書いている。したがって、危険度は自組織で ColdFusion の管理系エンドポイントをどのネットワークに置いているかでほぼ決まる。管理ゾーンを分離しているなら、外部から直接踏まれる形にはならない。逆に、既定の制限を外している構成、社内フラットネットワークに置いている構成、VPN 経由で広く到達できる構成では、実質的な攻撃面が大きくなる。判定手順は、(1) 稼働中の ColdFusion のバージョンと適用済み更新を管理画面かインストールディレクトリで確認し、APSB26-82 の対象かを見る、(2) 管理系エンドポイントに到達できるネットワーク範囲を実際に確認する（設定ファイルの記述ではなく、別セグメントの端末から到達するかを試す）、の2点である。対処は APSB26-82 の更新を適用すること。すぐに適用できない場合の緩和は、管理コンポーネントへのアクセスを管理ネットワークに限定し直すこと。これは既定の設計に戻す作業であり、根本対策ではないが、AV:A の前提を守るという意味では効果がある。

adobe ColdFusion を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-48321）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。