Trusted DesignCVE-2026-48282 の詳細
CVEの情報
説明:
ColdFusion versions 2025.9, 2023.20 and earlier are affected by an Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability that could lead to arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction. Scope is changed.
CVE更新日: 2026-06-30 16:16:54.533000
CVSSバージョン: 3.1
CVSSスコア: 10.0
KEVの情報
KEV更新日: 2026-07-07
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.285830000
EPSS更新日: 2026-07-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
Adobe ColdFusion における Path Traversal（CWE‑22）を悪用した認証不要のリモートコード実行（RCE）脆弱性。公開から2時間で実際に悪用が開始された極めて重大な脆弱性。
1. 脆弱性の概要
CVE‑2026‑48282 は Adobe ColdFusion 2025.9 / 2023.20 以前に存在する Improper Limitation of a Pathname to a Restricted Directory（CWE‑22） による 認証不要のリモートコード実行（RCE） 脆弱性。 攻撃者は 細工したパス名を ColdFusion に送信するだけで、 ColdFusion が本来アクセスすべきでないディレクトリのファイルを読み取り・実行できる。
その結果、任意コード実行が可能となり、ColdFusion サーバー全体が侵害される。
1.1 影響
1.2 深刻度
CVSS v3.1：10.0（Critical）
Vector：AV:N / AC:L / PR:N / UI:N / S:C / C:H / I:H / A:H
CISA Known Exploited Vulnerabilities（KEV）登録済み
→ 実際に悪用が確認されている
2. 対象となる環境
2.1 影響を受ける製品・バージョン
2.2 影響を受ける設定
3. 影響を受けた時の兆候（IoC）
公式の IoC は限定的だが、実際の攻撃観測から以下が事実として確認されている：
起こり得る事象
4. 推奨対策
4.1 本対策（恒久対策）
Adobe / CISA / OpenCVE による公式対策：
CISA は 2026/07/10 までの対策適用を必須化
4.2 暫定回避策（緩和策）
OpenCVE 推奨：
5. その他補足すべき観点
5.1 悪用状況
5.2 脆弱性の根本原因
→ ColdFusion がユーザー入力のパス名を適切に制限せず、 任意ディレクトリのファイルを読み取り・実行してしまう。