ColdFusionの脆弱性、いま何版なら安全？ 10月も最悪10点が2件、対象と対策を解説

いま当てるべき版は 2025 Update 14／2023 Update 26

2026年10月13日、Adobeは ColdFusion の定例のセキュリティ更新 APSB26-144 を公開しました。ColdFusion 2025 は Update 14（2025.0.14）、ColdFusion 2023 は Update 26（2023.0.26）が、2026年10月22日時点で脆弱性がふさがれた最新版です。2025.0.13 以前、2023.0.25 以前は今回の対象に入ります。

今回の更新で直った脆弱性は31件です（公開時は32件で、10月21日の改訂で CVE-2026-48378 が一覧から外されました）。うち CVE-2026-105899（危険なファイルのアップロード）と CVE-2026-106622（サーバーを踏み台にするSSRF）の2件が、深刻度の最高値10.0です。Adobeの記載では、どちらもネット越しに、ログインも利用者の操作もなしに攻撃できる評価になっています。

Adobe自身は優先度を3段階の真ん中の「2」とし、悪用は確認していないとしています。一方、毎月の更新を分析している Zero Day Initiative は、ファイルのアップロード、コードの差し込み、SSRF、認可の不備がそろった今回の ColdFusion を、優先度2の評価にかかわらず今月もっとも急ぐべきものに挙げています。6月に直った CVE-2026-48282 は、詳細の公開から2時間足らずで攻撃が始まっています（下の「経緯」）。優先度の数字ではなく、外部に公開しているかどうかで急ぎ具合を決めてください。

2026年の ColdFusion の更新と、どこまで上げればよいか

2026年6月の緊急の更新から、ColdFusion は毎月のように修正が出ています。後の更新は前の更新の修正をすべて含むため、途中の版を順に当てる必要はなく、最新版まで一度に上げれば足ります。逆に、7月の時点で「最新」だった Update 11／22 で止まっていると、8月から10月に見つかった最高10.0の穴が開いたままです。

※7月14日以降の更新で直った脆弱性に、10月22日時点で悪用の報告はありません。悪用が確認されているのは6月の CVE-2026-48282 です。各更新の対象・修正版・件数は表中のAdobeのセキュリティ情報によります。

経緯：6月の CVE-2026-48282 は公開直後に悪用された

2026年6月30日の緊急の更新（APSB26-68）で直った脆弱性のうち、 CVE-2026-48282（深刻度10.0）が、脆弱性の詳細が公開された直後から、実際の攻撃に使われ始めたことが複数の公的機関・調査組織から報告されました。脆弱性情報を追う KEVIntel は、公開から2時間足らずで、世界中に仕掛けたおとりサーバー（ハニーポット）網で実際の攻撃を観測したと発表しています。おとりサーバーとは、攻撃者をわざとおびき寄せて手口を記録するための監視用サーバーのことです。

これを受けて、カナダのサイバーセキュリティセンター（CCCS）や英国NHSのサイバー警戒チームが相次いで注意喚起を出しました。CVE-2026-48282 は、ファイルの保存場所をたどる指定を悪用してサーバーに不正なファイルを書き込み、最終的に任意の命令を実行できる欠陥です。ログイン不要でサーバーを乗っ取れるため、「更新が済んでいない公開サーバー」はいつ狙われてもおかしくない状態だと考えてください。攻撃監視組織 Shadowserver は、インターネット上に約800台のColdFusionが露出していると観測しています。

つまり、この脆弱性はもう「いつか悪用されるかもしれない」ではなく、すでに悪用が始まっているフェーズに入りました。この欠陥は Update 10／21 以降のどの版でも直っており、最新版へ上げればふさがります。過去にColdFusion が狙われた脆弱性は、米政府機関CISAの実際に攻撃された脆弱性リスト（KEV）にも繰り返し登録されてきましたが、今回のCVE-2026-48282も2026年7月7日付でそのKEVに正式に加えられました（連邦機関の是正期限は7月10日）。予告ではなく、現に攻撃されている脆弱性として公的に確定した形です。以下は、6月に公開された脆弱性の全体像です。

企業や官公庁のWebシステムを動かす土台として広く使われている Adobe ColdFusion（コールドフュージョン） に、2026年6月30日、外部からログインなしでサーバーを乗っ取れる脆弱性が一挙に見つかりました。米国の脆弱性データベース（NVD）には2026年6月30日付でまず9件のColdFusion脆弱性が登録され、その後さらに追加登録が進み、危険度が10点満点中ちょうど 10.0 の欠陥はColdFusionだけで6件に達しました（別製品Adobe Campaign Classicの1件を含めると10.0は計7件）。いずれもログイン不要・利用者の操作も不要で、攻撃者がねらったサーバー上で好きな命令を実行できてしまいます。代表的な番号は CVE-2026-48276 で、Adobeのセキュリティ情報 APSB26-68 として公開されています。上で述べたとおり、このうち CVE-2026-48282 はすでに実際の攻撃に悪用され始めています。

ColdFusion は、過去にも実際の攻撃へ繰り返し悪用され、米政府機関CISAの「実際に攻撃された脆弱性リスト（KEV）」に何度も載ってきた製品です。今回のように「ログインせずに乗っ取れる」たぐいの欠陥は、公開された直後から世界中で自動的に狙われやすく、対応の速さがそのまま被害の有無を分けます。Adobe ColdFusion を自社サーバーやクラウド上で動かしている組織にとっては、いま最優先で手を打つべき話です。下の表は、6月以降の更新も含めた2026年10月22日時点の全体像です。

※「CVSS」は脆弱性の深刻度を10点満点で表す国際的な指標で、10.0はその最高値です。本記事のCVSSは公開時点のCVSS v3.1の基本値です。

この脆弱性は誰に、どんな被害をもたらすのか

この穴を真っ先に狙うのは、インターネット上に公開されたColdFusionのサーバーを機械的に探し回る攻撃者です。ColdFusion はWebサイトや業務システムを動かすために使われるため、その入り口は外部に向けて開かれていることが珍しくありません。攻撃者は世界中のサーバーを片端からスキャンし、ColdFusion が動いている公開サーバーを見つけ次第ターゲットにします。今回の深刻なものはログインを必要としないため、たどり着けたサーバーはそのまま標的になります。

攻撃者がやることは、細工したファイルを送り込んだり、不正な入力を送りつけたりして、認証を通さずにサーバー上で自分の命令を実行することです。ColdFusion のいくつかの機能は、送られてきたファイルや文字列の中身を十分に確認しないまま処理してしまうため、本来は許されないはずの操作が通ってしまいます。代表的な手口は、攻撃用のプログラムをファイルとしてアップロードし、それをサーバーに実行させる、というものです。一度命令が通れば、追加のプログラムを次々に送り込めます。

命令を自由に実行できれば、そのサーバーは乗っ取られたのと同じです。Webサイトの改ざん、データベースに保管された顧客情報や個人情報の抜き取り、社内の別のシステムへの侵入の足がかり、身代金要求型ウイルス（ランサムウェア）の埋め込みまで、被害は一気に広がります。直接の標的はColdFusion を運用する企業・官公庁ですが、最終的に困るのは、その先にいるサービスを利用している一般の人々です。自分の個人情報を預けた先のサーバーが狙われる、という意味で、運用者だけの問題では終わりません。

ColdFusionとは何か、なぜ多くの組織に関係するのか

Adobe ColdFusion は、Webサイトや業務アプリを作って動かすための土台となるソフト（アプリケーションサーバー）です。1995年に登場した歴史の長い製品で、いまもAdobeが「2025」「2023」といった世代で開発を続けています。問い合わせフォーム、会員サイト、社内の業務システムなど、データベースと連動した動的なWebページをColdFusion 独自の言語で手早く作れるのが特徴で、官公庁・金融・教育・製造など、堅い分野のシステムに今も数多く使われています。

「最近あまり名前を聞かない」と感じる人もいるかもしれません。しかし、長く使われてきたぶん、表からは見えない裏方のシステムとして根強く残っているのがColdFusion です。そして、こうした「動いていて当たり前」になっている古参のサーバーほど、更新が後回しにされがちで、攻撃者にとっては狙い目になります。ColdFusion が攻撃に悪用された事例は過去に何度も報告されており、米政府機関のCISAは実際に悪用された脆弱性として注意を呼びかけてきました。「自社にColdFusion があるか把握していない」という状況こそが、いちばん危ないと言えます。

見つかった脆弱性 ― どれが、どう危ないのか

2026年6月30日に ColdFusion で公開された脆弱性のうち、危険度の高い順に整理すると、特に注意すべきは「ログインも利用者の操作も不要で、いきなりサーバーを乗っ取れる」6件（いずれもCVSS 10.0）です。当初は5件でしたが、後から CVE-2026-48316 が追加され6件になりました。そのうち CVE-2026-48282 は、前述のとおりすでに実際の攻撃で悪用が確認されています。まず全体を一覧で示し、種類ごとに何が起きるのかを補足します。

ファイルを送り込んで乗っ取る欠陥：CVE-2026-48276／CVE-2026-48283

この2件は「危険なファイルのアップロード」（CWE-434）と呼ばれる種類です。本来アップロードしてはいけない種類のファイル（中に命令が書かれた実行可能なファイル）を送り込めてしまい、それをサーバーが実行することで乗っ取りに至ります。ログインも特別な操作も要らず、最も古典的かつ確実な乗っ取り手口で、深刻度はどちらも最高の10.0です。

不正な入力で命令を実行される欠陥：CVE-2026-48277／CVE-2026-48281／CVE-2026-48316

この3件は「不適切な入力検証」（CWE-20）です。送られてきたデータが安全かどうかの確認が甘く、攻撃者が紛れ込ませた命令をサーバーがそのまま実行してしまいます。いずれも無認証・操作不要で、深刻度はそろって10.0です。CVE-2026-48316 は当初の公開には含まれず、数日遅れてNVDに登録された同種の欠陥で、これにより「無認証・操作不要で乗っ取れる10.0」はColdFusionだけで6件になりました。

本来見えない場所をたどる欠陥：CVE-2026-48282／CVE-2026-48313

この2件は「パストラバーサル」（CWE-22）と呼ばれ、ファイルの保存場所をたどる指定（「ひとつ上の階層へ」のような指定）を悪用し、本来アクセスできないはずの場所に手を伸ばす手口です。CVE-2026-48282 は、この手口でサーバーに不正なファイルを書き込み、最終的に任意の命令の実行まで至る深刻度10.0の欠陥です。今回、この CVE-2026-48282 が最初に実際の攻撃で悪用されたことが確認されました（詳しくは上の「経緯」を参照）。技術解析を公開した watchTowr Labs によれば、この欠陥はColdFusionの開発支援機能（RDS）でファイルの保存先の確認が甘かったことに起因します。もう一方の CVE-2026-48313 はサーバー内のファイルの盗み見と限定的な書き込みが可能で9.3です。設定ファイルや認証情報が読み取られれば、それ自体が次の侵入の鍵になります。

リンクを踏ませて悪用する欠陥：CVE-2026-48307／CVE-2026-48315

この2件は、攻撃者が用意した不正なリンクを管理者などに踏ませることで成立します。CVE-2026-48307 は「クロスサイトスクリプティング」（CWE-79）、CVE-2026-48315 は不正な入力の処理に起因し、いずれも被害者の権限でブラウザ上の操作やコード実行につながります。深刻度はそれぞれ8.8、9.3です。前述の5件と違い「踏ませる」というひと手間が要りますが、管理画面を扱う担当者が狙われると影響は大きくなります。残るCVE-2026-48285 は、サーバーを踏み台にして内部のリソースへアクセスさせる「サーバーサイドリクエストフォージェリ」（SSRF、CWE-918）で、深刻度8.6です。

なお同じ2026年6月30日には、Adobeの別製品であるAdobe Campaign Classic（メール配信などに使うマーケティング向けソフト）にも、無認証で命令を実行できる深刻度10.0の脆弱性 CVE-2026-48286（不正な認可、CWE-863）が公開されています。ColdFusion とは別の製品ですが、Adobe Campaign Classic（7.4.3 build 9396以前）を使っている組織は、こちらもあわせて更新の対象になります。

自分のサーバーは危ないのか、状況別の早見表

危険度は「ColdFusion を外部から接続できる状態にしているか」と「バージョンが対象に含まれるか」で大きく変わります。自社の状況に当てはめて確認してください。

※2026年10月22日時点の対象は ColdFusion 2025 Update 13（2025.0.13）以前、および ColdFusion 2023 Update 25（2023.0.25）以前です。自分のバージョンは管理画面のシステム情報で確認できます。ColdFusion 2021 は2025年11月10日に通常のサポートが終わっており、Adobeは延長サポートでもセキュリティの修正を出さないとしています。

いま何をすべきか

最優先は、Adobeが公開した最新のアップデートを適用することです。2026年10月22日時点では、ColdFusion 2025 は「Update 14」、ColdFusion 2023 は「Update 26」が最新です。Adobeのセキュリティ情報 APSB26-144 と、ColdFusion 2025・ColdFusion 2023 のアップデート一覧を確認し、使っている世代の最新版へ上げてください。最新版には、悪用が確認された CVE-2026-48282 を含む6月以降すべての修正が入っています。外部に公開しているサーバーは、10月分のログイン不要の10.0が2件あるため、次の定期メンテナンスを待たずに上げるのが安全です。

すぐに更新できない事情がある場合は、当面の応急策としてColdFusion をインターネットから直接触れない状態にすることを検討してください。外部に公開する必要がなければ社内ネットワークに閉じる、必要な場合も接続元を絞る、手前にWebアプリケーション用の防御（WAF）を置く、といった対応で攻撃の入り口を狭められます。Adobeが以前から推奨している、不要な機能を無効化する「ロックダウン」設定の見直しも有効です。

あわせて、すでに侵入されていないかの確認も行ってください。ColdFusion を狙う攻撃では、外部から実行できる不審なファイル（俗に言うWebシェル）をサーバーに置かれるのが典型です。公開ディレクトリに身に覚えのないファイルが増えていないか、不審な通信やログがないかを点検します。ColdFusion の脆弱性はこれまでも実際の攻撃に使われ、CISAの実際に攻撃された脆弱性リスト（KEV）に何度も登録されてきました。今回もいずれ悪用が広がる前提で備えるのが安全です。

よくある質問

まとめ

Adobe ColdFusion は、2026年6月30日に外部からログインなしでサーバーを乗っ取れる脆弱性が相次いで公開され、そのうち CVE-2026-48282 は公開直後から実際の攻撃に悪用されました。その後も7月から10月まで毎月更新が続き、10月の APSB26-144 にもログイン不要の深刻度10.0が2件含まれています。

対策は、ColdFusion 2025 は Update 14、2023 は Update 26 まで上げることです。途中の版を順に当てる必要はありません。すぐに無理なら、当面は ColdFusion を外部から触れない状態にして時間を稼ぎ、すでに侵入されていないかも点検してください。ColdFusion 2021 を使っている場合は、修正が出ないため移行が必要です。

参照元

• ・Adobe — Security update available for Adobe ColdFusion（APSB26-144・2026年10月13日公開／10月21日改訂）
• ・Adobe — Security updates available for Adobe ColdFusion（APSB26-119・2026年9月8日）
• ・Adobe — Security updates available for Adobe ColdFusion（APSB26-90・2026年8月11日）
• ・Adobe — Security updates available for Adobe ColdFusion（APSB26-82・2026年7月14日）
• ・Zero Day Initiative — The October 2026 Security Update Review
• ・Adobe ColdFusion Blog — Planning Ahead: ColdFusion 2021 Support Ending Soon
• ・Adobe — Security update available for Adobe ColdFusion（APSB26-68・2026年6月30日）
• ・NVD — CVE-2026-48276（CVSS 10.0・危険なファイルのアップロード）
• ・NVD — CVE-2026-48277（CVSS 10.0）
• ・NVD — CVE-2026-48281（CVSS 10.0）
• ・NVD — CVE-2026-48282（CVSS 10.0・パストラバーサル）
• ・NVD — CVE-2026-48283（CVSS 10.0・危険なファイルのアップロード）
• ・NVD — CVE-2026-48313（CVSS 9.3・パストラバーサル）
• ・NVD — CVE-2026-48315（CVSS 9.3）
• ・NVD — CVE-2026-48307（CVSS 8.8・クロスサイトスクリプティング）
• ・NVD — CVE-2026-48285（CVSS 8.6・SSRF）
• ・NVD — CVE-2026-48316（CVSS 10.0・不適切な入力検証）
• ・NVD — CVE-2026-48286（Adobe Campaign Classic・CVSS 10.0）
• ・BleepingComputer — Max severity Adobe ColdFusion flaw now exploited in attacks（CVE-2026-48282の悪用）
• ・NHS England Digital — Active Exploitation of CVE-2026-48282 in Adobe ColdFusion
• ・watchTowr Labs — Adobe ColdFusion Security Bulletin APSB26-68（技術解析）
• ・Adobe — ColdFusion（2025 release）updates
• ・Adobe — ColdFusion（2023 release）updates
• ・CISA KEV ダッシュボード（日本語版）
• ・カバー写真：Coolcaesar 撮影「Adobe World Headquarters」（CC BY-SA 4.0）。切り抜き・合成・文字追加をしており、カバー画像も CC BY-SA 4.0 です