Adobe、2026年8月のセキュリティアップデートを公開—ColdFusionにCVSS 10.0の重大な脆弱性、Commerceにも深刻な欠陥

最も深刻なColdFusionの脆弱性CVE-2026-48362は、認証されていない攻撃者が細工したリクエストを送信することで、任意のOSコマンドを実行できる可能性があります 。これはサーバーの完全な乗っ取りにつながる可能性があります。Evalインジェクション（CVE-2026-48273）や不適切な認可（CVE-2026-71384）の欠陥も、コード実行や権限昇格の扉を開くものです 。

Adobe Commerce（APSB26-92）— Priority 2（30日以内に適用）

アドビはCommerceおよびMagento Open Sourceの7件の脆弱性を解決しました 。

• 影響を受けるバージョン： Adobe Commerce 2.4.9-2026-jul およびそれ以前のバージョン、さらに2.4.8から2.4.4のリリースライン。Magento Open Sourceも同様。Commerce B2Bモジュールも対象 。
• 悪用の状況： アドビは 実際の悪用を確認していない としていますが、Commerceは過去に攻撃対象となったことが知られています 。
• パッチ適用の指針： Adobe Commerceのナレッジベースから2026年8月の Isolated patches（個別パッチ） を適用してください。クラウド上のCommerceをご利用のお客様は、Magento Cloud Patches 経由でもデプロイ可能です。パッチはリリースラインごとに累積的であるため、先に2026年7月のパッチを適用する必要があります。アドビは30日以内の適用を推奨しています（Priority 2） 。

Commerceの脆弱性CVE-2026-71362は、認証やユーザーの操作を必要とせず、ネットワーク経由で認証されていない攻撃者が権限を昇格できるという点で特に危険です 。これにより、機密性の高い顧客データが流出したり、システムが不正に改変されたりする可能性があります 。

背景：アドビの2026年8月パッチチューズデー

アドビは8月11日に 5件のセキュリティ情報 を公開し、合計 51件のCVE に対処しました 。

• Adobe ColdFusion（15件のCVE）
• Adobe Commerce / Magento Open Source（7件のCVE）
• Adobe Campaign Classic（複数の深刻な脆弱性、うち2件はCVSS 10.0）
• Adobe Lightroom Classic
• Content Credentials SDK

51件の脆弱性のうち、33件が「Critical」（重大） と評価されました 。今回のリリース全体で最も severity が高かったのは、ColdFusionのOSコマンドインジェクション（CVSS 10.0）とCampaign Classicの2件のCVSS 10.0の脆弱性です 。

セキュリティチーム向けの重要ポイント

1. ColdFusionユーザーは直ちにパッチを適用してください。 CVSS 10.0のRCE脆弱性（CVE-2026-48362）はサーバーの完全な乗っ取りにつながる可能性があります。アドビのPriority 1の評価は、将来的に悪用されるリスクが高いことを示しています。
2. Commerceユーザーは30日以内にパッチを適用してください。 現時点で活発な悪用は確認されていませんが、認証不要の権限昇格ベクター（CVE-2026-71362）は深刻な懸念事項であり、Commerceが過去に標的にされてきた歴史を考慮すると特に重要です。
3. これらの脆弱性について、現時点で活発な悪用は確認されていません が、PoC（概念実証コード）が存在しないことが安全を保証するわけではありません 。
4. 本番環境にロールアウトする前に、ステージング環境でパッチ適用を確認 してください。特にColdFusionでは、修正プログラムがカスタムアプリケーションに影響を与える可能性があります。