Adobe ColdFusionの最大深刻度パストラバーサル脆弱性が実際に悪用、CISAが即時パッチを指示

Attackers exploit critical Adobe ColdFusion vulnerability (CVE-2026-48282)

元記事は一次情報へのリンクです元記事を読む

5行でつかむ要点

米CISAは2026年7月7日、Adobe ColdFusionのパストラバーサル脆弱性CVE-2026-48282が実際に悪用されていると発表し、既知悪用脆弱性(KEV)カタログに追加した。

Remote Development Services(RDS)機能に起因し、未認証の攻撃者が細工したHTTPリクエストでWebアクセス可能な場所に悪意あるファイルをアップロードし、任意コード実行を達成できる。

研究者による技術解析が公開された直後、公開からわずか数時間~数分で実際の悪用が観測されるという速さで攻撃が始まった。

ColdFusionを社内システムの基盤に使っている情報システム部門にとって、パッチ公開から実悪用までの猶予がほぼゼロだった点が最大の警戒材料になる。

対象はColdFusion 2025 Update 10未満と2023 Update 21未満に限られ、それ以外のバージョンでの影響有無はCISAの正式勧告で個別に確認する必要がある。

攻撃者の動きの速さ

CVE-2026-48282の恐ろしさは深刻度そのものより、悪用までのスピードにある。研究者による技術解析が公開されてから、脅威インテリジェンス企業KEVIntelのハニーポットが最初の悪用試行を検出するまで、時間にしてほんの数時間しかかかっていない。攻撃コードを一から書く手間はほぼ不要で、公開された解析記事自体が攻撃者向けの手順書として機能した格好だ。

CISAが命じた対応

米CISAはこの脆弱性を既知悪用脆弱性(KEV)カタログに追加し、拘束的運用指令(BOD 26-04)に基づいて連邦文民機関に2026年7月10日までのパッチ適用を命じた。対象はColdFusion 2025 Update 10未満、および2023 Update 21未満のバージョン。原因はRemote Development Services(RDS)機能にあり、未認証の攻撃者が細工したHTTPリクエストを送るだけで、Webアクセス可能な場所に悪意あるファイルを置き、任意コード実行に持ち込める。

なぜこの弱点が特に危ないのか

パストラバーサルは、本来触れないはずのファイルパスを操作して想定外の場所を読み書きしてしまう古典的な脆弱性だが、今回はログイン不要という点が痛い。ColdFusionは企業の業務システムや社内向けWebアプリの基盤として使われることが多く、攻撃が成立すればサーバーの完全な乗っ取りにつながりかねない。

過去の事例と比べて見えるもの

Log4ShellやMOVEitの一斉悪用でも、パッチ公開から数日以内に大規模スキャンが始まったが、今回は解析記事の公開そのものが引き金になっている点が異なる。脆弱性の透明な開示と攻撃対応スピードのバランスは、今後さらに議論を呼びそうだ。細かな対象バージョンや修正版の情報はHelp Net Securityの記事(https://www.helpnetsecurity.com/2026/07/07/adobe-coldfusion-cve-2026-48282-exploitation-detected/)に一覧があるが、それを待たずにCFIDEディレクトリやWebルート配下へ見覚えのないファイルがないか、インターネットに公開しているColdFusionサーバーを持つ組織は今すぐ確認しておきたい。