CISA、連邦政府機関に対し、深刻度が最高レベルのColdFusionの脆弱性へのパッチ適用を金曜日までに完了するよう指示

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、政府機関に対し、Adobe ColdFusionの商用Webアプリ開発プラットフォームに存在する、現在悪用されている最高深刻度の脆弱性について、金曜日までに修正パッチを適用するよう命じた。

この脆弱性（CVE-2026-48282）は、ColdFusion バージョン 2025.9、2023.20 およびそれ以前のバージョンに影響を及ぼし、権限を持たないリモートの攻撃者が、複雑度の低い攻撃によってこの脆弱性を悪用し、パッチが適用されていないシステム上でコード実行権限を取得する可能性があります。

アドビは1週間前、このセキュリティ上の欠陥に対処するためのセキュリティ更新プログラムをリリースし、悪用されるリスクが高いとして、管理者に対しパッチを直ちに適用するよう強く促した。

「この更新プログラムは、特定の製品バージョンおよびプラットフォームにおいて、実際に野良エクスプロイトの標的となっている、あるいは標的となるリスクが高い脆弱性を修正するものです」と同社は述べた。「アドビは、管理者ができるだけ早く（例えば72時間以内）この更新プログラムをインストールすることを推奨します。」

KEVIntelの創設者であるライアン・デューハースト氏は、アドビがパッチを公開してから2日後に、攻撃者がアドビの開示から2時間以内にCVE-2026-48282の悪用を開始したと警告した。一方、カナダ・サイバーセキュリティセンター（CCCS）は、ネットワーク防御担当者に対し、こうした継続的な攻撃からシステムを保護するよう呼びかけた。

インターネットセキュリティ監視団体Shadowserverは現在、オンライン上で公開されている約800のAdobe ColdFusionインスタンスを追跡しているが、そのうち何件がハニーポットであるか、あるいはCVE-2026-48282の脆弱性を標的とした攻撃に対して防御措置が講じられているかについての情報は存在しない。

火曜日、CISAはCVE-2026-48282を、攻撃で積極的に悪用されている脆弱性のリストに 追加し、米国連邦文民行政機関（FCEB）に対し、拘束力のある運用指令 (BOD) 26-04の要件に基づき、6月10日（金）までにシステムのパッチ適用を命じた。

先月公表されたBOD 26-04では、連邦機関に対し、脆弱性がCISAのKEVカタログに含まれているか、大規模攻撃のためにその悪用が自動化可能か、脆弱な資産がオンラインに公開されているか、そして悪用が成功した場合に攻撃者が標的となったデバイスの一部または全部を制御できるかどうかに基づいて、パッチ適用の優先順位を決定するよう求めている。

先週、アドビはColdFusion Webアプリ開発プラットフォームおよびCampaign Classicマーケティングオートメーションプラットフォームにおける、その他の6つの「最大深刻度」の脆弱性に対してもパッチを適用した。これらはいずれも、標的とされるリスクが「高」と分類されていた。

しかし、同社はこれらの脆弱性のいずれについても、実環境で悪用されている事例をまだ確認しておらず、「これらの更新で対処された問題について、実環境での悪用事例は把握していない」と述べている。

4月上旬、アドビは、2025年12月からゼロデイ攻撃として悪用されていたAcrobat Readerの脆弱性（CVE-2026-34621）に対する緊急アップデートもリリースした。

2021年11月以降、CISAはAdobe製品の脆弱性80件を「現在悪用されているセキュリティ上の欠陥」のリストに追加しており、そのうち10件はランサムウェア攻撃でも悪用されています。