Adobeは2026年10月13日（現地時間）、ColdFusionやExperience Manager、Photoshopなど11製品を対象とするセキュリティアップデートを公開しました。
修正対象は製品間の重複を除いて175件に上り、ColdFusion、Experience Manager、Commerceには、CVSS基本値が最高の10.0となる脆弱性が含まれています。
11製品で脆弱性を修正
今回の更新では、コンテンツ管理や電子商取引に関わる製品から、画像編集・3D制作ソフトまで幅広い製品が対象になりました。
| 製品 | 修正件数 | 最大深刻度 | 最大CVSS | 適用優先度 |
|---|---|---|---|---|
| Adobe ColdFusion | 32件 | Critical | 10.0 | 2 |
| Adobe Experience Manager | 36件 | Critical | 10.0 | 2 |
| Adobe Commerce／Magento Open Source | 11件 | Critical | 10.0 | 2 |
| Content Credentials SDK | 30件 | High | 8.6 | 3 |
| Adobe Dimension | 7件 | High | 8.6 | 3 |
| Adobe Photoshop | 18件 | High | 8.2 | 3 |
| Adobe Substance 3D Stager | 16件 | High | 7.8 | 3 |
| Adobe FrameMaker | 10件 | High | 7.8 | 3 |
| Adobe Substance 3D Designer | 9件 | High | 7.8 | 3 |
| Adobe Substance 3D Sampler | 4件 | High | 7.8 | 3 |
| Adobe Bridge | 4件 | High | 7.8 | 3 |
製品ごとの修正件数を合計すると177件ですが、製品間で重複するCVEを除いた脆弱性数は175件です。
CVSS 10.0の3製品は優先して確認を
特に注意が必要なのは、ColdFusion、Experience Manager、Commerceの3製品です。
いずれも最大CVSS基本値は10.0で、脆弱性が悪用された場合には任意のコード実行などにつながるおそれがあります。
Adobeのパッチ適用優先度は、これら3製品について原則「2」とされており、目安として30日以内の更新が推奨されています。
ただし、ColdFusionはソリューションテーブルで優先度「1」と記載される一方、別の箇所では「2」とされており、資料内に不整合があります。
ColdFusionを利用している場合は、優先度表記の違いにかかわらず、業務への影響を確認したうえで可能な限り早く更新することが重要です。
深刻度評価の基準も変更
Adobeは今回から深刻度の評価基準を変更し、CVSS v3.1の基本値に基づく「Critical」「High」「Medium」「Low」の4段階を採用しました。
CVSS基本値は脆弱性の深刻さを示す指標ですが、実際のリスクは製品の利用状況やネットワークへの公開範囲などによっても変わります。
管理者は点数だけで判断せず、対象製品が稼働しているか、外部からアクセス可能か、更新による業務影響があるかを確認して対応を計画してください。
PhotoshopやBridge、FrameMaker、Dimension、Substance 3Dシリーズなどの優先度は「3」です。
これらもアップデートが推奨されていますが、適用時期は管理者の判断に委ねられています。
アップデートと影響確認を
Adobeによると、今回修正された脆弱性について、現時点で悪用の報告はありません。
ただし、悪用報告がないことは、今後も攻撃に利用されないことを保証するものではありません。
各製品の管理者は、Adobeのセキュリティ情報で対象バージョンや修正内容を確認し、検証環境での動作確認を含めて更新を進めることが望まれます。
まとめ
Adobeは11製品の脆弱性を修正し、重複を除いて175件に対応しました。
なかでもCVSS 10.0の問題を含むColdFusion、Experience Manager、Commerceは、利用状況を確認し、優先的なパッチ適用を検討してください。