Adobe ColdFusionに深刻なパス・トラバーサルの脆弱性「CVE-2026-48282」が発覚、Adobeは最大深刻度の「10.0」と評価しCISAも警告

要点

• Adobe ColdFusionのバージョン2025.9、2023.20およびそれ以前に、任意のコード実行が可能なパス・トラバーサルの脆弱性（CVE-2026-48282）が判明しました。

• 本脆弱性はユーザーの操作を必要とせず、悪用された場合は現在のユーザー権限の文脈で任意のコードが実行される恐れがあります。

• 開発元のAdobeは、脆弱性の深刻度を示すCVSS 3.1スコアで最大値となる「10.0（CRITICAL）」と評価しています。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は本脆弱性を悪用カタログに追加し、2026年7月10日までの対処を求めています。

• 米国の脆弱性情報データベース「NVD」などは、AdobeのWebアプリケーション開発プラットフォーム「Adobe ColdFusion」において、極めて深刻なパス・トラバーサルの脆弱性が確認されたと発表しました。本脆弱性は「CVE-2026-48282」として識別され、すでに実際の攻撃に悪用されているとして、セキュリティ機関が警戒を強めています。

脆弱性の概要と影響範囲

今回明らかになった脆弱性「CVE-2026-48282」は、Adobe ColdFusionにおける制限されたディレクトリに対するパス名の不適切な制限、いわゆるパス・トラバーサル（CWE-22）に関するものです。パス・トラバーサルとは、システム内の本来アクセスできないファイルやディレクトリへのアクセスを許してしまうセキュリティ上の欠陥を指します。

影響を受けるとされる製品バージョンは以下の通りです。

• Adobe ColdFusion 2025.9およびそれ以前のバージョン
• Adobe ColdFusion 2023.20およびそれ以前のバージョン

NVDで公開されている構成情報によれば、ColdFusion 2023の各アップデート（Update 1から20まで）や、ColdFusion 2025の各アップデート（Update 1から3まで）を含む、広範なバージョンが本脆弱性の影響を受けるとされています。

被害と攻撃手法の特徴

この脆弱性が危険視されているのは、攻撃者が対象システムに対して遠隔から、標的となるユーザーの関与（ファイルの開封やリンクのクリックといった操作）を一切必要とせずに脆弱性を悪用できる点にあります。

攻撃が成功した場合、システムを稼働させている現在のユーザー権限の範囲内で、任意のコード（不正なプログラム命令）を実行されるリスクが生じます。これにより、サーバーの制御権を奪取されるなどの深刻な被害を及ぼす可能性があります。また、CVSSの評価において「スコープ（影響範囲）の変更」を伴うため、脆弱性が存在するコンポーネントだけでなく、他の関連システムやリソース全体へも被害が波及する可能性があります。

最大値「10.0」の深刻度評価

脆弱性の深刻度を数値化して評価する「CVSS 3.1」において、Adobe（CNA：CVE番号付与機関）は、本脆弱性のベーススコアを最高値である「10.0（CRITICAL）」と算出しました。

Adobeが提示したCVSS 3.1のベクトル文字列「CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H」は、ネットワーク経由でリモートから攻撃可能（AV:N）、攻撃の実行難易度が低い（AC:L）、事前認証や特別な権限が不要（PR:N）、標的ユーザーの操作が不要（UI:N）、さらに機密性・完全性・可用性への影響がすべて最大レベル（C:H/I:H/A:H）であることを示しています。

なお、NISTによるNVD独自のCVSS評価アセスメントは、現時点でまだ提供されていません。

CISAによる警告と速やかな対応要求

この脆弱性の緊急性と実際の悪用リスクを受け、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、2026年7月7日付で本脆弱性を「既知の悪用された脆弱性カタログ」に追加しました。これは、すでに実際の攻撃において悪用されている事実を公式に認めたことを意味します。

CISAは、セキュリティ更新プログラムの適用に関する指針「BOD 22-01」および「BOD 26-04」に基づき、管理者に対して以下の対応を要求しています。

• 露出状況の評価: 各管理資産におけるインターネットへの露出状況を個別に評価すること。
• 速やかなパッチ適用: ベンダーが提示する指示に従い、緩和策や修正プログラムを適用すること。対応期限は「2026年7月10日」と極めて短期間に設定されています。
• クラウドでの対応: クラウドサービスについては、該当するBOD 26-04のガイダンスに従うこと。
• 製品の使用中止: 緩和策や修正プログラムの適用が困難な場合は、対象製品の使用を中止すること。

本脆弱性に対応する修正プログラムについては、Adobeが公式にセキュリティアドバイザリ（APSB26-68）を公開しており、ユーザーに対して速やかな確認と適用を強く推奨しています。