Adobe の脆弱性と対応
Adobe 製品の重大・クリティカル脆弱性 8件を、CVSS 順に並べています。各 CVE の詳細ページに、AWS・GCP・Azure・Linux 別の対応と一次情報の出典があります。
Adobe の掲載状況(数値は本ページのビルド時にデータから集計)
掲載 8件の内訳は Critical 8件 / High 0件。CVSS は最高 10.0、最低 9.1です。
このうち 4件は CISA KEV に収載され、実際の悪用が確認されています。先に着手すべきはこの 4件です。
掲載している Adobe の CVE は 2025/10/15 〜 2026/09/08 に公開または KEV 収載されたものです。
対応が必要な環境の内訳は、Linux(OS 側の修正)が 7件です。AWS・GCP・Azure で必要な対応が分かれるのは2件だけです。環境の違いが出るのは主に Linux(OS 側の修正の有無)です。
対象になっている製品
- ColdFusion3件
- Adobe Campaign Classic (ACC) v7。7.4.3 build 9397 以前が該当。Windows 版・Linux 版とも対象。1件
- Adobe ColdFusion1件
- Adobe Commerce / Magento Open Source1件
- Adobe Commerce および Magento Open Source。EC サイト構築の商用/OSS プラットフォームで、決済とカード情報の入り口に立つ。NVD の適用範囲は cpe:2.3:a:adobe:commerce、cpe:2.3:a:adobe:commerce_b2b、cpe:2.3:a:adobe:magento(open_source)で、パッチレベル単位に細かく列挙されている。1件
- Experience Manager (AEM) Forms1件
必要な対応の内訳
区分は AWS・GCP・Azure 側の対応状況にもとづきます。各 CVE の修正バージョン・回避策は詳細ページに一次情報の出典付きで書いています。
先に着手すべきもの(KEV 収載 4件)
-
Critical CVSS 10.0 NEW KEV 悪用確認Adobe Commerce / Magento Open Source のテンプレートエンジンで未認証のコード実行(CVSS 10.0・KEV・是正期限 2026-09-11)AWSGCPAzureLinux
-
Critical CVSS 10.0 KEV 悪用確認Adobe ColdFusion パストラバーサル(任意コード実行)AWSGCPAzureLinux
-
Critical CVSS 10.0 KEV 悪用確認Adobe Experience Manager Forms の設定不備で RCE(悪用確認済み)AWSGCPAzureLinux
-
Critical CVSS 9.1 KEV 悪用確認Adobe Commerce/Magento の入力検証不備でセッション奪取(悪用確認済み)AWSGCPAzureLinux
CVSS の数字の内訳を確かめる: Adobe のアドバイザリに載っているスコアだけでは「ネットワーク越しか」「認証が要るか」までは分かりません。アドバイザリに載っているベクタ文字列(例
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)を CVSSベクタ読み解きツール に貼ると、各項目の意味と基本値の計算過程を日本語で確認できます。Adobe の脆弱性と対応8件
-
Critical CVSS 10.0 NEW KEV 悪用確認Adobe Commerce / Magento Open Source のテンプレートエンジンで未認証のコード実行(CVSS 10.0・KEV・是正期限 2026-09-11)AWSGCPAzureLinux
-
Critical CVSS 10.0 KEV 悪用確認Adobe ColdFusion パストラバーサル(任意コード実行)AWSGCPAzureLinux
-
Critical CVSS 10.0 KEV 悪用確認Adobe Experience Manager Forms の設定不備で RCE(悪用確認済み)AWSGCPAzureLinux
-
Critical CVSS 9.9Adobe ColdFusion コードインジェクション(低権限から任意コード実行)AWSGCPAzureLinux
-
Critical CVSS 9.8Adobe Campaign Classic の認可不備で任意コード実行(CVSS 10.0・7.4.3 build 9398 で修正)AWSGCPAzureLinux
-
Critical CVSS 9.6Adobe ColdFusion の入力値検証不備で任意コード実行(管理ゾーン到達が前提)AWSGCPAzureLinux
-
Critical CVSS 9.3Adobe ColdFusion の不適切な認可による権限昇格(CVSS 9.3・隣接ネットワークから)AWSGCPAzureLinux
-
Critical CVSS 9.1 KEV 悪用確認Adobe Commerce/Magento の入力検証不備でセッション奪取(悪用確認済み)AWSGCPAzureLinux