Adobe Bridgeほか9件の脆弱性、CVE-2026-48395で素材を開くと乗っ取り

Adobeが、写真やデザインの素材を管理するソフト「Adobe Bridge」に8件、「Adobe Photoshop」のインストーラーに1件、合わせて9件の脆弱性（ソフトの欠陥）を公表しました。米国政府の脆弱性データベースNVDへの登録は2026年7月28日、日本時間では29日の未明にあたります。いちばん重いのが CVE-2026-48395（危険度8.6／10点満点）です。

先に、いちばん誤解されやすいところをはっきりさせます。これは「インターネット越しに、何もしていないのに勝手に乗っ取られる」種類の脆弱性ではありません。Bridgeの8件は例外なく、被害者が悪意あるファイルを自分で開くことが成立条件になっています。Adobeが登録した脆弱性情報の原文にも、9件のうち8件に「Exploitation of this issue requires user interaction in that a victim must open a malicious file（悪用には、被害者が悪意あるファイルを開くという利用者の操作が必要）」と明記されています。危険度の計算式も、攻撃の起点が「ローカル（AV:L＝その端末上）」で「利用者の操作が必要（UI:R）」という前提で組まれています。

ただ、ここで安心して読み終えると危ないのです。Bridgeはそもそも「他人から送られてきた画像素材を開いて中身を確認する」ためのソフトです。カメラマンから届いたRAWデータ、印刷所から戻ってきたデータ、代理店から回ってきた入稿素材——それを次々と開いて選別するのがBridgeの仕事です。つまり「悪意あるファイルを開く」という成立条件が、制作現場の日常業務とほぼ完全に重なります。条件付きであることと、条件が満たされにくいことは、まったく別の話です。

公表された9件はどんな欠陥なのか

9件がどこに載っているかから押さえます。Bridgeの8件は Adobe のセキュリティ情報 APSB26-89 にまとめられており、Photoshopの1件だけは別扱いです。危険度の数値はNVDに登録されたCVSS v3.1のスコアで、いずれもAdobe自身が算出した値です。

数え方を混ぜないでください。Bridgeが8件、Photoshopのインストーラーが1件です。この2つは性質がまったく違うので、後半で分けて説明します。

素材ファイルを毎日開く職場が、名指しで狙われる

この穴を実際に使いたい人間は、誰でもいいから乗っ取りたい相手を探している側ではありません。狙いを定めるのは、写真スタジオ・デザイン事務所・印刷会社・広告制作会社といった、外から届いた素材ファイルを毎日開いている職場です。名刺やSNSで担当者名も業務内容も割れていて、しかも「画像を送ります」というメールが不自然に見えない。こういう相手にとって、Bridgeで開かせるファイルを1枚送り込むのは難しい仕事ではありません。制作会社が発注元の大企業への足がかりとして狙われる、いわゆる取引先経由の侵入も同じ構図です。

素材フォルダ1つと、そこに紛れ込んだ画像1枚。攻撃側に要るのはそれだけです。壊れた画像ファイルや、細工したフォルダを一式まとめて渡し、それをBridgeで開いた瞬間に自分のプログラムを走らせる。走ったプログラムは、その人がログインしている権限をそのまま使えます。管理者になる必要はありません。デザイナー本人の権限だけで、共有サーバーの素材フォルダは読めますし、社内チャットのアプリも動かせますし、認証情報の保存場所にも手が届きます。

未発表の広告ビジュアル、新商品パッケージ、タレントの撮影データ。制作会社にとって痛いのは、公開前に漏れたら契約問題になるこうした資産で、何を失うかは業種の事情がそのまま出ます。発注側の企業にとっては、自社の未公開素材が制作パートナー経由で外に出ることになります。そこから社内ネットワークへ横に広がれば、被害は素材の流出だけで終わりません。だからこの9件は「うちは狙われるほど大きくない」で流せる話ではなく、あとで説明する更新をその日のうちに済ませるのが正解です。

「無条件で乗っ取られる」脆弱性との違いはどこか

脆弱性の危険度は、CVSSという共通の計算式で点数化されます。点数の内訳を見ると、その穴が「放っておくと勝手に攻められる」ものか「人の操作を待つ」ものかがわかります。今回の9件はすべて後者です。

たとえば最重量の CVE-2026-48395 のベクタ（内訳）は CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H です。先頭の AV:L が「攻撃の起点はその端末の中（ネットワーク越しではない）」、UI:R が「利用者の操作が必要」を意味します。同じAdobe製品でも、ColdFusionで7月に悪用が始まった脆弱性は AV:N（ネットワーク越し）かつ PR:N/UI:N（ログインも操作も不要）で、危険度は10点満点でした。Citrix NetScalerのようなインターネットに直接面した機器や、ログイン不要で乗っ取れるWordPressプラグインと、今回のBridgeを同じ緊急度で語るのは正確ではありません。

一方で、点数の内訳には見逃せない部分もあります。9件のうち5件（CVE-2026-48395／48396／48390／48391／48388）は S:C、つまり「影響がそのアプリの中で止まらない」とAdobe自身が評価しています。Bridgeという1本のソフトの不調ではなく、その端末の別の部分にまで届く、という意味です。8.6や8.2という数字が「操作が必要なのに高い」のは、この評価が乗っているからです。

記述の食い違いも1つだけあります。8件のうち CVE-2026-48391 のみ「低権限の攻撃者（a low-privileged attacker）」という表現が入り、内訳も PR:L（何らかの権限が必要）になっています。残りの7件は PR:N（権限不要）です。同じ「信頼できない探索パス」に分類された CVE-2026-48395 が8.6、CVE-2026-48391 が8.2と差がついているのは、この1文字の違いによるものです。技術的な中身の差はAdobeの説明文だけでは読み取れません。

上は同じ7月のAdobe製品の話ですが、こちらは実際に攻撃が観測されたColdFusionの件です。今回のBridge・Photoshopの9件については、こうした悪用の報告は本記事の執筆時点で見つかっていません。

Adobe Bridgeの8件を1件ずつ見る

Adobeの説明文はどれも短いので、わかることとわからないことを分けて書きます。以下はすべてNVDおよびAdobeが登録したCVEレコードの記述に基づきます。

CVE-2026-48395: 信頼できない探索パス（危険度8.6）

今回9件のなかで最も重い1件です。プログラムは動作中に外部の部品（ライブラリ）を読み込みますが、その「どこを探すか」の順番に信頼できない場所が混ざっていると、攻撃者が置いた偽の部品を先に読んでしまいます。結果として、ログイン中の利用者の権限で任意のプログラムが動きます。分類は CWE-426（Untrusted Search Path）。成立には悪意あるファイルを開く操作が必要です（NVD）。

CVE-2026-48396: 権限確認の不備（危険度8.6）

「この操作をしていい相手かどうか」の確認が正しく行われていない欠陥です（CWE-863: Incorrect Authorization）。本来は止められるはずの処理が通ってしまい、ログイン中の利用者の権限で任意のプログラムが動きます。危険度は48395と同じ8.6で、影響範囲がアプリの外に及ぶ評価（S:C）も同じです（NVD）。

CVE-2026-48390: 権限確認の不備から権限昇格（危険度8.2）

48396と同じCWE-863ですが、結果が「権限昇格」と書かれている点が違います。Adobeの説明では、攻撃者はこの穴を使って許可されていない読み書きができるようになります。ファイルを壊されたり書き換えられたりする側の被害で、サービス停止（可用性）への影響はなしと評価されているため8.2です（NVD）。

CVE-2026-48391: 低権限の攻撃者による任意コード実行（危険度8.2）

48395と同じCWE-426（信頼できない探索パス）ですが、Adobeの説明文で唯一「低権限の攻撃者が悪用できる」と書かれています。危険度の内訳も PR:L で、攻撃側に何らかの権限が必要です。共用の作業マシンや、複数人が同じアカウントを触る現場では、この条件はハードルになりません（NVD）。

CVE-2026-48374: パストラバーサルでファイルを読み出される（危険度7.8）

ファイル名の指定に「上の階層へ戻る」表記を混ぜ込むことで、本来アクセスできない場所のファイルを読み出す手口です（CWE-22）。Adobeは「意図された範囲の外にある機密ファイルやディレクトリにアクセスできる」と書いています。プログラムを走らせるタイプではなく、読まれるタイプの被害です（NVD）。

CVE-2026-48392: 領域外への書き込み（危険度7.8）

プログラムが確保したメモリの外側に書き込んでしまう欠陥です（CWE-787: Out-of-bounds Write）。壊れた画像ファイルを読み込ませて、はみ出した書き込みを狙った場所に当てることで、任意のプログラムを動かせます。画像を扱うソフトで昔から繰り返し見つかっている型です（NVD）。

CVE-2026-48393: 領域外への書き込み（危険度7.8）

48392とまったく同じ説明文・同じ危険度・同じ内訳で登録されています。Adobeは箇所の違いを公開していません（NVD）。

CVE-2026-48394: 領域外への書き込み（危険度7.8）

こちらも48392・48393と同一の記述です。同じ種類の欠陥が3件並んでいるという事実だけが公開情報からわかることで、同じ処理の別の箇所なのか、別々の機能なのかは断定できません。Adobeは発見者の名前も公開しておらず、CVEレコードには「外部からの報告（discovery: EXTERNAL）」とだけ記録されています（NVD）。

Photoshopの1件はインストーラーの問題で、性質が違う

残る1件、CVE-2026-48388はPhotoshop本体ではありません。Photoshopをインストールするためのインストーラーの欠陥です。Bridgeの8件と混ぜて数えるべきものではないので、分けて書きます。

CVE-2026-48388: Photoshopインストーラーの探索先の制御不備（危険度8.6）

インストーラーは動作中に部品（ライブラリ）を読み込みますが、その探索先が十分に絞られていませんでした（CWE-427: Uncontrolled Search Path Element）。攻撃者が探索先のフォルダに細工した部品を先回りして置いておくと、インストーラーがそれを読み込んで任意のプログラムを実行します。危険度は8.6、影響範囲はアプリの外に及ぶ評価（S:C）です。

条件は、Bridgeの8件とはかなり違います。効くのはインストーラーを実行している最中だけです。しかも、攻撃者が事前に「インストーラーが探すフォルダに書き込める」状態になっていなければ成立しません。現実的に危ないのは、複数人が使う共用パソコン、書き込み権限がゆるく設定された共有フォルダ、あるいは誰かがすでに侵入している端末で、そこにあとから正規のPhotoshopを入れる場面です。すでにインストールが終わっていて、これから入れ直す予定がないなら、この1件の出番はありません。

この1件は、公開情報の中身も他の8件と違っています。Adobeの説明文はすべて過去形（「was affected」「could have resulted」）で書かれており、すでに手当てが済んだものとして登録されています。そして影響バージョンの欄は「0以上」までしか埋められておらず、上限が「N/A」のままです。つまりAdobeは、どのバージョンのインストーラーが対象で、どれなら安全なのかを示していません。参照リンクもAdobeのセキュリティ情報ではなく、CWEの解説ページと CVE.orgのレコードだけです。この1件については「バージョンを上げて直す」という対処ができないため、Photoshopをこれから入れる人が、Creative Cloudデスクトップアプリから最新のインストーラーを取得する以外にやれることは、公開時点では見当たりません。

どのバージョンが対象で、どれに上げればいいのか

Bridgeの8件については、Adobeが自ら登録したCVEレコードに影響範囲と修正版が明記されています。8件すべてで対象と修正版は共通です。

15系はAdobeが長期サポート（LTS）として維持している系列です。「最新の16系に上げられない案件がある」という現場でも、15.1.7という逃げ道が用意されています。なお16.0.6は2026年7月22日にAdobeのコミュニティで告知されており、CVEの公開（7月28日）よりも先に配信が始まっていました。すでに更新を済ませている人は、今回の8件については対処が終わっている可能性があります。

Adobeの優先度（Priority 1/2/3）と深刻度（Critical / Important）は、本記事の執筆時点で確認できませんでした。Adobeのセキュリティ情報ページ（helpx.adobe.com）は本文の取得に失敗し、アーカイブにも記録が残っていません。参考情報として、7月14日に公開された前回のBridge向けセキュリティ情報（APSB26-81、6件）は、窓の杜の報道によれば深刻度Critical・優先度3（更新は推奨だがタイミングは各自の判断）でした。今回の8件が同じ扱いかどうかは、Adobeのページを直接確認してください。

Creative Cloudからの更新のやり方

この記事を読んでいる方の多くは情報システム部門の担当者ではなく、Bridgeを毎日使っている制作者だと思います。押す場所まで書きます。

Windowsなら画面右下のタスクトレイ、Macなら画面右上のメニューバーにあるCreative Cloudのアイコンをクリックして、Creative Cloudデスクトップアプリを開きます。左側のメニューから「アップデート」を選ぶと、更新できるアプリの一覧が出ます。Bridgeの行に「更新」ボタンがあれば、それを押すだけです。Adobeのコミュニティ告知も、この「Creative Cloudデスクトップアプリで Bridge の隣の『更新』をクリックする」手順を案内しています。

更新が一覧に出てこないこともあります。Adobeは16.0.6を順次（incrementally）配信すると明記しているため、自分の環境にまだ届いていない場合があるのです。その場合は右上のメニューから更新の確認をやり直し、それでも出てこなければ時間を置いてもう一度試してください。全ユーザーに行き渡るまで待つよう、Adobeも案内しています。

いま自分が何番のBridgeを使っているかは、Bridgeを起動して「Adobe Bridgeについて」を開けば確認できます。16.0.5以下、または15.1.6以下だったら対象です。組織で何十台も管理しているなら、Creative Cloudのチーム向け管理画面でバージョンを一覧して、16.0.6／15.1.7に届いていない端末を洗い出すのが早いはずです。作業手順の細かい違いはOSやプランで変わるので、Adobe Bridgeのリリースノートも合わせて確認してください。

すでに攻撃に使われているのか

結論から言うと、公開情報の範囲では悪用の兆候は見つかっていません。3つの指標を確認しました。

1つ目、EPSS（今後30日間に悪用される確率の推定値）。FIRSTのEPSSのデータを9件分まとめて照会しましたが、2026年7月29日時点でスコアは1件も算出されていません。公開の翌日なので当然で、数日後には数値が付くはずです。

2つ目、CISA KEV。米政府の機関CISAが「実際に攻撃に使われている」と確認した脆弱性のリストです。2026年7月27日版のカタログ（登録1,655件）を確認したところ、今回の9件はいずれも入っていません。Adobe製品全体では80件が過去に載っていますが、Bridgeは1件もありません。KEVの見方や国内での使い方はCISA KEVダッシュボードの解説記事にまとめてあります。

3つ目、実証コード（PoC）や攻撃観測の報告。9件について、公開された実証コードやセキュリティ企業の観測報告は見つかりませんでした。Adobeは7月14日の月例更新について「対処した問題のいずれについても悪用の報告は認識していない」としていましたが、今回の8件について同じ記述があるかは、Adobeのページを読めていないため確認できていません。

この投稿が触れているのは7月14日の月例更新（12製品・88〜89件）で、今回の9件はそれとは別のタイミングです。Zero Day Initiativeの7月分レビューでは、Bridgeは APSB26-81 で6件と記録されています。それとは別に、7月22日にBridge 16.0.6が配信され、7月28日にAPSB26-89の8件が公開された、という流れです。stack.watchのAdobe Bridge一覧でも、今回の8件はすべて7月28日・APSB26-89として並んでいます。

国内の注意喚起や日本語の記事はあるのか

Adobe製品は国内でも報道が付きやすいので、公的機関の登録状況をひととおり確認しました。2026年7月29日時点の結果です。

JVN iPedia（IPAとJPCERT/CCが運営する国内の脆弱性データベース）は、MyJVNのAPIで7月20日以降のAdobe関連を照会したところ「該当する脆弱性対策情報はありません」でした。今回の9件はまだ日本語での登録がありません。

JPCERT/CCの注意喚起一覧も見ました。2026年のAdobe関連はAcrobat／Readerの4件（APSB26-26／26-43／26-44／26-63）だけで、7月はMicrosoftの月例更新に関する1件のみです。Bridge・Photoshopの注意喚起は出ていません。IPAの緊急対策情報にも該当はありません。

日本語の報道は、7月15日に窓の杜が月例更新（12製品・89件）を記事にしています。ただしそこで扱われているBridgeはAPSB26-81の6件で、7月28日公表の8件を日本語で扱った記事は、はてなブックマークの検索を含めて見つかりませんでした。国内向けにこの9件をまとめて説明した記事としては、本記事が最初のものになると思われます。逆に言えば、公的機関の日本語情報を待っていると更新が遅れます。Adobeの一次情報で判断してください。

Adobeが明かした範囲と、伏せた範囲

素材を開く前に、今日のうちに済ませる

Bridgeを使っているなら、Creative Cloudデスクトップアプリを開いて16.0.6（または15.1.7）に上げてください。それだけで8件すべてが閉じます。作業は数分で、開いているファイルを保存して閉じる以外の準備はいりません。更新がまだ降ってきていない環境は、順次配信の途中です。数日のあいだ、素材ファイルを開くときの警戒度を1段上げておくのが現実的な対処になります。

組織として動くなら、優先順位のつけ方はこうです。ネットワーク越しに誰でも攻撃できるColdFusionのような穴が先で、今回のBridgeはその次です。ただし「その次」は「やらなくていい」ではありません。制作部門のパソコンは、外部から届いたファイルを開くのが業務そのものなので、条件付きの脆弱性がいちばん刺さる場所でもあります。条件付きの脆弱性をどう読むかを考えるときは、危険度の数字だけでなく「その条件が自分の職場で日常的に満たされるか」まで見るのが実務的です。

Photoshopのインストーラーの1件は、これから新規にインストールする予定がある場合だけ気にすればよい話です。共用パソコンや権限設定のゆるい環境でインストールするのは避け、Creative Cloudデスクトップアプリから取得した最新のインストーラーを使ってください。

この9件は、公開翌日の時点で悪用の報告もEPSSの数値もありません。慌てる必要はない一方、Bridgeの修正版は7月22日からすでに配られています。押すだけで終わる作業を後回しにする理由も、特にありません。

参照元

• ▸ Adobe - Security update available for Adobe Bridge | APSB26-89（2026年7月28日、Bridge 8件の公式セキュリティ情報）
• ▸ NVD - CVE-2026-48395（危険度8.6、信頼できない探索パス）
• ▸ NVD - CVE-2026-48396（危険度8.6、権限確認の不備）
• ▸ NVD - CVE-2026-48390（危険度8.2、権限昇格）
• ▸ NVD - CVE-2026-48391（危険度8.2、低権限の攻撃者による任意コード実行）
• ▸ NVD - CVE-2026-48374（危険度7.8、パストラバーサル）
• ▸ NVD - CVE-2026-48392（危険度7.8、領域外への書き込み）
• ▸ NVD - CVE-2026-48393（危険度7.8、領域外への書き込み）
• ▸ NVD - CVE-2026-48394（危険度7.8、領域外への書き込み）
• ▸ NVD - CVE-2026-48388（危険度8.6、Photoshopインストーラー）
• ▸ CVE.org - CVE-2026-48388 レコード（影響バージョンがN/Aである点の確認）
• ▸ Adobe Community - Adobe Bridge 16.0.6 is now available（2026年7月22日、更新手順と順次配信の記述）
• ▸ Adobe - Adobe Bridge リリースノート
• ▸ Zero Day Initiative - The July 2026 Security Update Review（7月14日の月例更新、BridgeはAPSB26-81で6件）
• ▸ 窓の杜 - Adobe、2026年7月のセキュリティ情報（2026年7月15日、APSB26-81の深刻度・優先度）
• ▸ stack.watch - Adobe Bridge Security Vulnerabilities（APSB26-89として8件が並ぶことの確認）
• ▸ CISA - Known Exploited Vulnerabilities Catalog（2026年7月27日版・1,655件を確認）
• ▸ FIRST - EPSS（9件ともスコア未算出）
• ▸ JVN iPedia（MyJVN APIで未登録を確認）
• ▸ JPCERT/CC - 2026年の注意喚起一覧（Bridge・Photoshopの注意喚起なし）
• ▸ IPA - 2026年度の緊急対策情報