Adobe ColdFusion APSB26-68、11件のCVEを修正――CVSS 10.0のRCE系6件を含むPriority 1、watchTowrはパッチ差分から追加修正箇所も分析

2026年6月30日、AdobeはColdFusion 2025およびColdFusion 2023を対象とするセキュリティ情報APSB26-68を公開しました。同アドバイザリはCVE合計11件を扱う内容で、うち6件はCVSS 3.1のベーススコアが最大値の10.0にあたる重大な脆弱性です。Adobeは同アドバイザリの優先度を最上位の「Priority 1」に設定しており、影響を受ける環境の管理者に対して速やかな更新の適用を求めています。修正版はColdFusion 2025 Update 10とColdFusion 2023 Update 21で、Adobeは記事執筆時点で本件に関する実環境での悪用は認識していないとしています。

本件は規模と内容の両面で目立つアドバイザリです。watchTowr Labsは自社ブログの表題を「It’s 37oC, And All We Can Think About Is ColdFusion (Adobe ColdFusion Security Bulletin APSB26-68 CVE Bonanza)」とし、CVE-2026-48282(Arbitrary File Write)とCVE-2026-48313(Arbitrary File Read)、CVE-2026-48276(Unrestricted File Upload)のPoCコードとともに、Adobeがアドバイザリ上では個別に明示していないと思われる、パッチによって同時に塞がれた追加の修正箇所についても指摘しています。ただし、watchTowrが具体的に分析した経路の一部は、RDSやCKEditor filemanagerといった機能の有効化状態に依存する点には注意が必要です。ColdFusionは過去にも認証迂回や任意コード実行の系譜が長い製品で、2026年に入ってからAPSB26-12(1月13日)、APSB26-38(4月14日)、APSB26-64(6月9日)に続いて短期間で優先度1のアドバイザリが繰り返し出されている点も、運用者にとっての注視点です。

APSB26-68で公表された11件のCVE

APSB26-68で公表されたCVEを、Adobe公式アドバイザリの記載順に整理すると以下の通りです。特に上位6件はいずれもCVSS 10.0の未認証RCE、かつスコープ変更(S:C)を伴うため、脆弱なColdFusionインスタンスに到達できる攻撃者が、認証なしで任意コード実行に至りうる分類です。

Adobeはこの11件について、外部リサーチャーとしてAnirudhAnand(a0xnirudh)氏にCVE-2026-48283とCVE-2026-48313、Matan Sandori(matans1)氏および2Bsecureの共同にCVE-2026-48307をクレジットしています。それ以外のCVEについてAdobeは謝辞欄で発見者を明示していません。

watchTowrがパッチ差分分析で示した攻撃経路

watchTowr LabsのSina Kheirkhah氏は、APSB26-68公開の2日後にあたる2026年7月2日、ColdFusion 2025.0.0.331385(vulnerable)と2025.0.0.331899(patched)の差分をベースにした技術分析をブログで公表しました。同社は分析にあたって「個別の脆弱性とCVE IDの対応づけ」については確信を持ちにくかった旨を最初に断ったうえで、複数のexploit primitiveとPoCコードを掲載しています。

RDS経路：Remote Development Servicesを起点にした任意ファイル操作

watchTowrがまず取り上げているのが、ColdFusionのRDS(Remote Development Services)経由のパスに存在した脆弱性です。RDSは本来、ColdFusion BuilderやDreamweaver、Eclipseプラグインといった開発IDEがColdFusionサーバに対してファイルシステムの参照、DBクエリ、デバッグ支援などをHTTP経由で実行するための小規模なRPCプロトコルです。すべてのRDSリクエストは/CFIDE/main/ide.cfmへのPOSTとして送られ、クエリパラメータACTIONが具体的な操作を指定する構造になっています。

watchTowrがパッチ差分から突き止めたのは、ACTION=FILEIOを起点にしたFileServlet実装の欠陥です。差分前は、RDSリクエストから抽出したファイル名をFileServlet.this.getFile(filename)にそのまま渡していたのに対し、差分後はFileServlet.this.getCanonicalFile(filename)を経由するように変わり、途中で新設されたRdsFileSecurity.resolveCanonicalがパスの正規化と、NULLバイト、親ディレクトリセグメント、絶対パスなどの明示的な拒否を行うようになっていました。

この修正はFileReadOperatorとFileWriteOperatorの両方に共通して適用されており、修正前は同一の欠陥からArbitrary File ReadとArbitrary File Writeの2種類のprimitiveが成立します。watchTowrは、Arbitrary File Writeを利用してC:\ColdFusion2025\cfusion\wwwroot\shell.cfmにCFMLペイロードを書き込み、続いてGET /shell.cfmでリモートコード実行に至るPoC HTTPリクエストを掲載しました。同社の推測では、Arbitrary File Writeに割り当てられたのがCVE-2026-48282、Arbitrary File Readに割り当てられたのがCVE-2026-48313とされています。

ただしwatchTowrは、RDSは既定で有効化されておらず、自社検証では認証を無効にした状態でPoCが動作した点を明記しています。RDSを有効化していない環境、あるいはRDSの認証が正しく設定されている環境では、本経路の悪用条件は成立しにくくなります。逆に言えば、開発機やRDS認証が緩められた環境では、上記のprimitiveが意図せず露出しうる状態です。

CKEditor filemanager経路：認証不要のアップロード先パストラバーサル

watchTowrが取り上げたもう1つの経路が、ColdFusion同梱のCKEditor filemanagerに存在した脆弱性です。パッチ差分ではajax-ckeditorディレクトリ配下のsettings.cfmに、jspf、cfmail、warを新たに拒否拡張子として追加する変更と、ファイルアップロード時のパストラバーサル対策を行う<cfscript>ブロックの追加が確認されました。同社はこの脆弱性を、Adobeアドバイザリで最初に列挙されているCVE-2026-48276(Unrestricted File Upload)に相当するものと推測しています。

この経路の重要な特徴は、脆弱な機能を有効化するためのフラグ(AllowUploads、AllowDirectoryCreation、AllowDirectoryNavigation)が既定でいずれもfalseに設定されている一方、いったんAllowUploadsをtrueにすると、上流のアップロードエンドポイントが認証なしで到達可能な状態になる点です。watchTowrのPoCでは、/cf_scripts/scripts/ajax/ckeditor/plugins/filemanager/upload.cfmに対して、multipart form dataのpathフィールドにhome/../../../../../../../../../../../ColdFusion2025/cfusion/wwwroot/のような親ディレクトリ遡行つきパスを、fileフィールドに.war拡張子のペイロードを乗せることで、任意の場所にファイルを書き込むリクエストが示されています。書き込みはColdFusionサービスの実行ユーザー、Windows環境で言えばNT AUTHORITY\SYSTEM相当の権限で行われる旨も明記されています。

CFMLタグ経由の脆弱性群(前提条件つき)

watchTowrは、APSB26-68のパッチ差分にはさらに複数のCFMLタグに関するXSLT、SSRF、XXE、File Write関連の変更が含まれていたと述べています。同社が挙げるのは<cffeed>、<cfpop>、<cfimap>、<cfexchangemail>、<cfexchangeconnection>、<cfwebsocket>、<cffile action="upload">の各タグで、いずれも該当タグを利用するカスタム.cfmページの実装が本番環境上に存在し、なおかつ攻撃者がその配置場所を把握したうえでユーザー制御下の入力を該当タグに到達させる必要があります。前述の2つの経路と比較すると、この群はカスタム実装の存在が前提となる点で悪用ハードルが高い区分です。

Adobeがアドバイザリ上では明示していない追加の修正箇所

watchTowrがブログ内で強く指摘しているのが、Adobeアドバイザリ上のCVE一覧と、実際のパッチが同時に修正している範囲との差です。RDS経路のFileServlet系については、FileReadOperatorとFileWriteOperatorの他にも、FileRenameOperator、FileDeleteOperator、FileCreateDirectoryOperator、FileCFDirectoryOperatorといった同一クラス上の他のoperatorも、同じパスバリデーションのパッチが適用されていることが確認されています。これはそれぞれ、Arbitrary File Move、Arbitrary File Delete、Arbitrary Directory Create、Arbitrary Directory Listingに相当するprimitiveを、単一のRdsFileSecurity.resolveCanonical導入で一括して塞いだ構造です。

watchTowrは、これらの追加的な修正内容が固有のCVE番号として明示されていない状況について「Did Adobe get bored listing them? A character limit in their advisory?(Adobeが一覧化に飽きたのか、アドバイザリの文字数制限か)」と半ばユーモアを交えて指摘しています。CKEditor filemanager経路でも、filemanager.cfc?method=getfmfilesに対するパストラバーサルを悪用したArbitrary Directory Listingが同じパッチで塞がれていることが示されています。これらの追加修正箇所が独立したCVE相当の脆弱性なのか、公表されているCVEに包含される追加primitiveなのかはAdobe側から明示されていませんが、パッチ差分から見える実際の修正範囲はAdobeの列挙よりも広く、更新自体は複数のprimitiveに対して同時に効いていると読める整理です。

影響範囲と修正版

今回のアドバイザリの対象はColdFusion 2025のUpdate 9以前と、ColdFusion 2023のUpdate 20以前です。Adobeは修正版としてColdFusion 2025 Update 10とColdFusion 2023 Update 21を公表しており、いずれも優先度1のリリースです。ColdFusionには2026年に入ってからAPSB26-12(1月13日)、APSB26-38(4月14日)、APSB26-64(6月9日)と優先度1のセキュリティ情報が短期間で連続しており、APSB26-68はこの流れの最新版に位置づけられます。

Adobeはあわせて、既存のColdFusion Lockdown Guide、ColdFusion Security documentation、JDKアップデート、insecure deserialization対策のserial filter設定など、単発のパッチ以外の恒常的な対策項目にも参照を促しています。特にJEE版ColdFusionを利用している環境では、Adobeが例示している-Djdk.serialFilterのJVMフラグ設定を、パッチ適用と同じタイミングで棚卸しする価値があります。

実務上の対応方針

APSB26-68の対処は、単純なパッチ適用にとどまらず、ColdFusion固有の機能有効化フラグと配置の棚卸しまでを含めて設計するのが実務的です。優先度1のアドバイザリで、CVSS 10.0の未認証RCEが6件含まれる以上、外部公開されているColdFusionインスタンスに対しては短期間での対応が現実的な目安となります。

• Update 10 / Update 21への計画的な更新：ColdFusion 2025はUpdate 10、ColdFusion 2023はUpdate 21以降が対策版です。2026年に入って複数のPriority 1アドバイザリが続いている状況を踏まえ、単なる差分適用ではなく、直近数ヶ月のUpdateを漏れなく適用できているかを棚卸しに含める価値があります。
• RDS有効化状況の確認：RDSは既定で有効化されていませんが、開発機や過去の設定引き継ぎで有効化されたまま忘れられているインスタンスがないかを確認します。有効化されている場合、RDS認証が有効かどうか、認証を必要としない構成になっていないかも合わせて棚卸しします。
• CKEditor filemanagerのアップロード有効化状況の確認：AllowUploads、AllowDirectoryCreation、AllowDirectoryNavigationの3つのフラグが既定のfalseのままか、業務要件でtrueにしている場合はそのエンドポイントへの到達経路が絞られているかを確認します。CVE-2026-48276の悪用は既定設定では成立しにくい一方、有効化されている環境では認証なしで到達可能な点が重要です。
• ネットワーク境界での露出範囲の見直し：ColdFusionの/CFIDE/、/cf_scripts/、/CFIDE/administrator/などの管理系パスがインターネット公開されていないかを確認し、必要に応じてWAFやリバースプロキシでのブロックを検討します。ColdFusion Lockdown Guideの推奨に沿った基本ハードニングも合わせて棚卸しします。
• ポスト侵害の兆候ハンティング：Adobeは実悪用を認識していないとしているものの、watchTowrのブログ公開に伴いPoCが広く参照可能になっています。wwwrootやCFIDE配下の想定外の.cfm/.cfc/.cfml/.jsp/.warファイル、ColdFusionプロセス(coldfusion.exe、jrun.exe、java.exe)から派生する想定外のcmd.exe/powershell.exe/シェル、CFIDE配下への異常なPOSTリクエストパターンなどを、当面の観測対象に加えるのが妥当です。
• Adobe明示外のprimitiveも含めた運用上の想定：watchTowrが指摘したArbitrary File Move、Delete、Directory Create、Directory Listingについては、Adobeの列挙上は独立したCVEが割り当てられていない可能性がありますが、パッチによって同時に塞がれているため、更新自体で対策済みとなります。ログ収集と検知ルール整備の観点では、これらのprimitiveによる兆候(想定外のファイル移動・削除、ディレクトリ作成・列挙)も観測対象として意識するのが実務的です。

まとめ

APSB26-68は、Adobe ColdFusion 2025および2023を対象に、CVSS 10.0の未認証RCE 6件を含む合計11件のCVEを一括で修正する優先度1のセキュリティ情報です。Adobeが謝辞欄で名前を挙げた2名のリサーチャーと1組織による報告以外の内訳は明示されていないため、CVE単位での攻撃経路の解像度は限られる一方、watchTowrがパッチ差分の分析からRDS経路とCKEditor filemanager経路の2系統について具体的なexploit primitiveを示し、加えてAdobeがCVE一覧に明示していない複数の関連するprimitiveも同時に塞がれていることを指摘しました。

ColdFusion運用者にとっては、単純にUpdate 10 / Update 21を適用するだけでなく、RDSとCKEditor filemanagerという2つの機能有効化フラグの棚卸し、2026年に入って積み重なった過去のPriority 1アドバイザリとの整合、および/CFIDE/や/cf_scripts/のネットワーク露出範囲の見直しまでを含めた対応が現実的です。Adobeは記事執筆時点で実環境での悪用を認識していないとしていますが、PoCを含む詳細な技術分析が既に公開されている点を踏まえると、外部公開インスタンスに対しては短期間での対応が求められる状況です。

一次情報・公式情報

• APSB26-68: Security update available for Adobe ColdFusion (Adobe、2026年6月30日)
• It’s 37oC, And All We Can Think About Is ColdFusion (Adobe ColdFusion Security Bulletin APSB26-68 CVE Bonanza) (watchTowr Labs、2026年7月2日、Sina Kheirkhah)
• Serial Filter Documentation (Adobe ColdFusion KB)
• Adobe ColdFusion Security Bulletins Index

参考情報

• Adobe ColdFusion Critical Vulnerabilities Let Attackers Execute Arbitrary Code (GBHackers)
• Adobe ColdFusion Critical Flaws Enable Arbitrary Code Execution and File Read Attacks (CyberPress)
• Adobe ColdFusion Critical Vulnerabilities (Secure ISS)

slug: adobe-coldfusion-apsb26-68-cve-bonanza