ColdFusionの脆弱性が悪用開始、CVE-2026-48282ほか最悪10点、即更新を

最悪10点のCVE-2026-48282が、実際の攻撃で悪用され始めた

当初は「まだ悪用は確認されていない」段階でしたが、状況が変わりました。今回の5件のうちの1つ CVE-2026-48282（深刻度10.0）が、脆弱性の詳細が公開された直後から、実際の攻撃に使われ始めたことが複数の公的機関・調査組織から報告されました。脆弱性情報を追う KEVIntel は、公開から2時間足らずで、世界中に仕掛けたおとりサーバー（ハニーポット）網で実際の攻撃を観測したと発表しています。おとりサーバーとは、攻撃者をわざとおびき寄せて手口を記録するための監視用サーバーのことです。

これを受けて、カナダのサイバーセキュリティセンター（CCCS）や英国NHSのサイバー警戒チームが相次いで注意喚起を出しました。CVE-2026-48282 は、ファイルの保存場所をたどる指定を悪用してサーバーに不正なファイルを書き込み、最終的に任意の命令を実行できる欠陥です。ログイン不要でサーバーを乗っ取れるため、「更新が済んでいない公開サーバー」はいつ狙われてもおかしくない状態だと考えてください。攻撃監視組織 Shadowserver は、インターネット上に約800台のColdFusionが露出していると観測しています。

つまり、この脆弱性はもう「いつか悪用されるかもしれない」ではなく、すでに悪用が始まっているフェーズに入りました。ColdFusion を外部に公開している組織は、後半の「いま何をすべきか」で挙げる更新を、文字どおり今すぐ実施してください。過去にColdFusion が狙われた脆弱性は、米政府機関CISAの実際に攻撃された脆弱性リスト（KEV）にも繰り返し登録されてきましたが、今回のCVE-2026-48282も2026年7月7日付でそのKEVに正式に加えられました（連邦機関の是正期限は7月10日）。予告ではなく、現に攻撃されている脆弱性として公的に確定した形です。以下は、脆弱性の全体像と対策をまとめた本編です。

企業や官公庁のWebシステムを動かす土台として広く使われている Adobe ColdFusion（コールドフュージョン） に、外部からログインなしでサーバーを乗っ取れる脆弱性が一挙に見つかりました。米国の脆弱性データベース（NVD）には2026年6月30日付でまず9件のColdFusion脆弱性が登録され、その後さらに追加登録が進み、危険度が10点満点中ちょうど 10.0 の欠陥はColdFusionだけで6件に達しました（別製品Adobe Campaign Classicの1件を含めると10.0は計7件）。いずれもログイン不要・利用者の操作も不要で、攻撃者がねらったサーバー上で好きな命令を実行できてしまいます。代表的な番号は CVE-2026-48276 で、Adobeのセキュリティ情報 APSB26-68 として公開されています。上で述べたとおり、このうち CVE-2026-48282 はすでに実際の攻撃に悪用され始めています。

ColdFusion は、過去にも実際の攻撃へ繰り返し悪用され、米政府機関CISAの「実際に攻撃された脆弱性リスト（KEV）」に何度も載ってきた製品です。今回のように「ログインせずに乗っ取れる」たぐいの欠陥は、公開された直後から世界中で自動的に狙われやすく、対応の速さがそのまま被害の有無を分けます。Adobe ColdFusion を自社サーバーやクラウド上で動かしている組織にとっては、いま最優先で手を打つべき話です。

※「CVSS」は脆弱性の深刻度を10点満点で表す国際的な指標で、10.0はその最高値です。本記事のCVSSは公開時点のCVSS v3.1の基本値です。

この脆弱性は誰に、どんな被害をもたらすのか

この穴を真っ先に狙うのは、インターネット上に公開されたColdFusionのサーバーを機械的に探し回る攻撃者です。ColdFusion はWebサイトや業務システムを動かすために使われるため、その入り口は外部に向けて開かれていることが珍しくありません。攻撃者は世界中のサーバーを片端からスキャンし、ColdFusion が動いている公開サーバーを見つけ次第ターゲットにします。今回の深刻なものはログインを必要としないため、たどり着けたサーバーはそのまま標的になります。

攻撃者がやることは、細工したファイルを送り込んだり、不正な入力を送りつけたりして、認証を通さずにサーバー上で自分の命令を実行することです。ColdFusion のいくつかの機能は、送られてきたファイルや文字列の中身を十分に確認しないまま処理してしまうため、本来は許されないはずの操作が通ってしまいます。代表的な手口は、攻撃用のプログラムをファイルとしてアップロードし、それをサーバーに実行させる、というものです。一度命令が通れば、追加のプログラムを次々に送り込めます。

命令を自由に実行できれば、そのサーバーは乗っ取られたのと同じです。Webサイトの改ざん、データベースに保管された顧客情報や個人情報の抜き取り、社内の別のシステムへの侵入の足がかり、身代金要求型ウイルス（ランサムウェア）の埋め込みまで、被害は一気に広がります。直接の標的はColdFusion を運用する企業・官公庁ですが、最終的に困るのは、その先にいるサービスを利用している一般の人々です。自分の個人情報を預けた先のサーバーが狙われる、という意味で、運用者だけの問題では終わりません。

ColdFusionとは何か、なぜ多くの組織に関係するのか

Adobe ColdFusion は、Webサイトや業務アプリを作って動かすための土台となるソフト（アプリケーションサーバー）です。1995年に登場した歴史の長い製品で、いまもAdobeが「2025」「2023」といった世代で開発を続けています。問い合わせフォーム、会員サイト、社内の業務システムなど、データベースと連動した動的なWebページをColdFusion 独自の言語で手早く作れるのが特徴で、官公庁・金融・教育・製造など、堅い分野のシステムに今も数多く使われています。

「最近あまり名前を聞かない」と感じる人もいるかもしれません。しかし、長く使われてきたぶん、表からは見えない裏方のシステムとして根強く残っているのがColdFusion です。そして、こうした「動いていて当たり前」になっている古参のサーバーほど、更新が後回しにされがちで、攻撃者にとっては狙い目になります。ColdFusion が攻撃に悪用された事例は過去に何度も報告されており、米政府機関のCISAは実際に悪用された脆弱性として注意を呼びかけてきました。「自社にColdFusion があるか把握していない」という状況こそが、いちばん危ないと言えます。

見つかった脆弱性 ― どれが、どう危ないのか

今回ColdFusion で公開された脆弱性のうち、危険度の高い順に整理すると、特に注意すべきは「ログインも利用者の操作も不要で、いきなりサーバーを乗っ取れる」6件（いずれもCVSS 10.0）です。当初は5件でしたが、後から CVE-2026-48316 が追加され6件になりました。そのうち CVE-2026-48282 は、前述のとおりすでに実際の攻撃で悪用が確認されています。まず全体を一覧で示し、種類ごとに何が起きるのかを補足します。

ファイルを送り込んで乗っ取る欠陥：CVE-2026-48276／CVE-2026-48283

この2件は「危険なファイルのアップロード」（CWE-434）と呼ばれる種類です。本来アップロードしてはいけない種類のファイル（中に命令が書かれた実行可能なファイル）を送り込めてしまい、それをサーバーが実行することで乗っ取りに至ります。ログインも特別な操作も要らず、最も古典的かつ確実な乗っ取り手口で、深刻度はどちらも最高の10.0です。

不正な入力で命令を実行される欠陥：CVE-2026-48277／CVE-2026-48281／CVE-2026-48316

この3件は「不適切な入力検証」（CWE-20）です。送られてきたデータが安全かどうかの確認が甘く、攻撃者が紛れ込ませた命令をサーバーがそのまま実行してしまいます。いずれも無認証・操作不要で、深刻度はそろって10.0です。CVE-2026-48316 は当初の公開には含まれず、数日遅れてNVDに登録された同種の欠陥で、これにより「無認証・操作不要で乗っ取れる10.0」はColdFusionだけで6件になりました。

本来見えない場所をたどる欠陥：CVE-2026-48282／CVE-2026-48313

この2件は「パストラバーサル」（CWE-22）と呼ばれ、ファイルの保存場所をたどる指定（「ひとつ上の階層へ」のような指定）を悪用し、本来アクセスできないはずの場所に手を伸ばす手口です。CVE-2026-48282 は、この手口でサーバーに不正なファイルを書き込み、最終的に任意の命令の実行まで至る深刻度10.0の欠陥です。今回、この CVE-2026-48282 が最初に実際の攻撃で悪用されたことが確認されました（詳しくは冒頭の続報を参照）。技術解析を公開した watchTowr Labs によれば、この欠陥はColdFusionの開発支援機能（RDS）でファイルの保存先の確認が甘かったことに起因します。もう一方の CVE-2026-48313 はサーバー内のファイルの盗み見と限定的な書き込みが可能で9.3です。設定ファイルや認証情報が読み取られれば、それ自体が次の侵入の鍵になります。

リンクを踏ませて悪用する欠陥：CVE-2026-48307／CVE-2026-48315

この2件は、攻撃者が用意した不正なリンクを管理者などに踏ませることで成立します。CVE-2026-48307 は「クロスサイトスクリプティング」（CWE-79）、CVE-2026-48315 は不正な入力の処理に起因し、いずれも被害者の権限でブラウザ上の操作やコード実行につながります。深刻度はそれぞれ8.8、9.3です。前述の5件と違い「踏ませる」というひと手間が要りますが、管理画面を扱う担当者が狙われると影響は大きくなります。残るCVE-2026-48285 は、サーバーを踏み台にして内部のリソースへアクセスさせる「サーバーサイドリクエストフォージェリ」（SSRF、CWE-918）で、深刻度8.6です。

なお同じ2026年6月30日には、Adobeの別製品であるAdobe Campaign Classic（メール配信などに使うマーケティング向けソフト）にも、無認証で命令を実行できる深刻度10.0の脆弱性 CVE-2026-48286（不正な認可、CWE-863）が公開されています。ColdFusion とは別の製品ですが、Adobe Campaign Classic（7.4.3 build 9396以前）を使っている組織は、こちらもあわせて更新の対象になります。

自分のサーバーは危ないのか、状況別の早見表

危険度は「ColdFusion を外部から接続できる状態にしているか」と「バージョンが対象に含まれるか」で大きく変わります。自社の状況に当てはめて確認してください。

※対象は ColdFusion 2025 Update 9（2025.9）以前、および2023系の該当版（2023.20）以前です。自分のバージョンは管理画面のシステム情報で確認できます。古い世代（2021など）を使っている場合は、サポート状況もあわせて確認してください。

いま何をすべきか

最優先は、Adobeが公開した最新のアップデートを直ちに適用することです。今回の脆弱性は、ColdFusion 2025 は「Update 10」、ColdFusion 2023 は「Update 21」で修正されています。Adobeのセキュリティ情報 APSB26-68 と、ColdFusion 2025・ColdFusion 2023 のアップデート一覧を確認し、使っている世代の最新版へ上げてください。すでにCVE-2026-48282が実際の攻撃に使われている以上、「次の定期メンテナンスで」では間に合いません。Adobeも重要度を最上位の「優先度1」とし、72時間以内の適用を目安に呼びかけています。文字どおり今すぐ動くべき案件です。

すぐに更新できない事情がある場合は、当面の応急策としてColdFusion をインターネットから直接触れない状態にすることを検討してください。外部に公開する必要がなければ社内ネットワークに閉じる、必要な場合も接続元を絞る、手前にWebアプリケーション用の防御（WAF）を置く、といった対応で攻撃の入り口を狭められます。Adobeが以前から推奨している、不要な機能を無効化する「ロックダウン」設定の見直しも有効です。

あわせて、すでに侵入されていないかの確認も行ってください。ColdFusion を狙う攻撃では、外部から実行できる不審なファイル（俗に言うWebシェル）をサーバーに置かれるのが典型です。公開ディレクトリに身に覚えのないファイルが増えていないか、不審な通信やログがないかを点検します。ColdFusion の脆弱性はこれまでも実際の攻撃に使われ、CISAの実際に攻撃された脆弱性リスト（KEV）に何度も登録されてきました。今回もいずれ悪用が広がる前提で備えるのが安全です。

よくある質問

まとめ

Adobe ColdFusion に、外部からログインなしでサーバーを乗っ取れる脆弱性が相次いで公開されました。無認証・操作不要で乗っ取れる深刻度10.0はColdFusionだけで6件（別製品Campaign Classicを含め10.0は計7件）にのぼり、そのうち CVE-2026-48282 は公開直後からすでに実際の攻撃に悪用されています。細工したファイルや不正な入力を送りつけるだけで、サーバー上で任意の命令を実行され、Webサイトの改ざんや個人情報の流出、別システムへの侵入の足がかりにされる恐れがあります。

対策ははっきりしています。Adobeが公開した最新アップデート（APSB26-68）を直ちに適用すること（ColdFusion 2025はUpdate 10、2023はUpdate 21）。すぐに無理なら、当面はColdFusion を外部から触れない状態にして時間を稼ぎ、すでに侵入されていないかも点検してください。ColdFusion は過去に繰り返し狙われてきた製品で、今回はもう「いつか狙われる」ではなく「すでに狙われている」段階です。「動いているから大丈夫」ではなく、いま手を動かすことが被害を防ぎます。

続報：7月の定例更新（APSB26-82）で追加のColdFusion脆弱性

2026年7月14日、Adobeは緊急対応だったCVE-2026-48282（APSB26-68）とは別に、定例のセキュリティ情報APSB26-82を公開し、ColdFusionの脆弱性をまとめて修正しました。この定例分は、いずれも現時点で悪用の報告はありません。ただしColdFusionは修正公開から悪用までが速い製品であり、まとめて当てておくのが安全です。

この中で目を引くのがCVE-2026-48284（危険度9.6）です。ログイン不要で、細工した入力からColdFusionが動くサーバー上でコードを実行され得ます。ただし攻撃には「隣接するネットワークから届く必要がある（AV:A）」という条件が付き、インターネットから誰でも直接という48282ほどの手軽さはありません。このほかにも、ログインを要する権限昇格やパストラバーサル、SQLインジェクションなど複数の脆弱性（CVE-2026-48318〜48327など）が同時に修正されています。

対応はシンプルです。ColdFusion 2025 は Update 11、ColdFusion 2023 は Update 22 へ更新してください。これらは今回の定例分に加え、すでに悪用が確認されているCVE-2026-48282（緊急のUpdate 10／21で修正済み）も当然に含む最新版です。まだUpdate 10／21にとどまっている場合も、この最新版まで一気に上げるのが確実です。悪用状況はCISA KEV ダッシュボード（日本語版）で追えます。

参照元

• ・Adobe — Security update available for Adobe ColdFusion（APSB26-68）
• ・NVD — CVE-2026-48276（CVSS 10.0・危険なファイルのアップロード）
• ・NVD — CVE-2026-48277（CVSS 10.0）
• ・NVD — CVE-2026-48281（CVSS 10.0）
• ・NVD — CVE-2026-48282（CVSS 10.0・パストラバーサル）
• ・NVD — CVE-2026-48283（CVSS 10.0・危険なファイルのアップロード）
• ・NVD — CVE-2026-48313（CVSS 9.3・パストラバーサル）
• ・NVD — CVE-2026-48315（CVSS 9.3）
• ・NVD — CVE-2026-48307（CVSS 8.8・クロスサイトスクリプティング）
• ・NVD — CVE-2026-48285（CVSS 8.6・SSRF）
• ・NVD — CVE-2026-48316（CVSS 10.0・不適切な入力検証）
• ・NVD — CVE-2026-48286（Adobe Campaign Classic・CVSS 10.0）
• ・BleepingComputer — Max severity Adobe ColdFusion flaw now exploited in attacks（CVE-2026-48282の悪用）
• ・NHS England Digital — Active Exploitation of CVE-2026-48282 in Adobe ColdFusion
• ・watchTowr Labs — Adobe ColdFusion Security Bulletin APSB26-68（技術解析）
• ・Adobe — ColdFusion（2025 release）updates
• ・Adobe — ColdFusion（2023 release）updates
• ・CISA KEV ダッシュボード（日本語版）