情報取得日: 2026/07/14／最終確認: 2026/08/10・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-48322 |
|---|---|
| 製品 | Adobe / ColdFusion |
| CVSS | 9.9（Critical） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-94 生成コードの不適切な制御（コードインジェクション） |
| 登録／公開日 | 2026/07/14 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-48322 |
ColdFusion のコードインジェクション脆弱性。低権限のアカウントを持つ攻撃者が、利用者の権限で任意のコードを実行できる。ユーザー操作は不要で、スコープが変化する（CVSS ベクタの S:C）ため、ColdFusion プロセスの権限を越えて影響が広がりうる。Adobe のアドバイザリ APSB26-82 によると影響を受けるのは ColdFusion 2025 の Update 10 以前と ColdFusion 2023 の Update 21 以前。NVD 一次スコアは CVSS 3.1 基本値 9.9（Critical）で、掲載中の CVE の中でも最上位に近い。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上の ColdFusion を 2025 Update 11 / 2023 Update 22 へ更新する
ColdFusion は AWS のマネージドサービスではなく利用者が EC2 等に導入するアプリケーションなので、AWS 側からの修正提供はない。AMI を作り直している場合はゴールデンイメージの更新も必要。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCE 上の ColdFusion を 2025 Update 11 / 2023 Update 22 へ更新する
GCP 固有の修正提供はない。インスタンステンプレートやコンテナイメージを使っている場合は、そちらの再作成まで行わないと再作成時に古い版へ戻る。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の ColdFusion を 2025 Update 11 / 2023 Update 22 へ更新する
Azure 固有の修正提供はない。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Adobe 配布のアップデータで ColdFusion 本体を更新する（OS のパッケージ更新では直らない）
ColdFusion は Adobe が独自に配布する製品で、Linux ディストリのパッケージには含まれない。yum / apt のセキュリティ更新を回しても対象外である点に注意。
参照リンク
|
Adobe が APSB26-82 で修正版を公開しているので、ColdFusion 2025 は Update 11、ColdFusion 2023 は Update 22 へ更新するのが確実な対応。更新までの間は、Adobe が同アドバイザリから参照している Lockdown Guide の設定を適用し、管理画面（CFIDE / ColdFusion Administrator）をインターネットから到達できない位置に置く。低権限アカウントが起点になる脆弱性なので、不要なアカウントの棚卸しと、外部に開いている ColdFusion サーバの洗い出しを先に済ませておくと優先順位を付けやすい。
Critical（CVSS 9.9）に分類されるAdobe ColdFusionの脆弱性です。ColdFusion のコードインジェクション脆弱性。低権限のアカウントを持つ攻撃者が、利用者の権限で任意のコードを実行できる。ユーザー操作は不要で、スコープが変化する（CVSS ベクタの S:C）ため、ColdFusion プロセスの権限を越えて影響が広がりうる。Adobe のアドバイザリ APSB26-82 によると影響を受けるのは ColdFusion 2025 の Update 10 以前と ColdFusion 2023 の Update 21 以前。NVD 一次スコアは CVSS 3.1 基本値 9.9（Critical）で、掲載中の CVE の中でも最上位に近い。
Adobe が APSB26-82 で修正版を公開しているので、ColdFusion 2025 は Update 11、ColdFusion 2023 は Update 22 へ更新するのが確実な対応。更新までの間は、Adobe が同アドバイザリから参照している Lockdown Guide の設定を適用し、管理画面（CFIDE / ColdFusion Administrator）をインターネットから到達できない位置に置く。低権限アカウントが起点になる脆弱性なので、不要なアカウントの棚卸しと、外部に開いている ColdFusion サーバの洗い出しを先に済ませておくと優先順位を付けやすい。
Adobe ColdFusion を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-48322）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/10）。