【更新 2026-07-23】本記事を見直し、事実関係を修正しました。主な修正点：①最大深刻度（CVSS 10.0）のColdFusion／Campaign Classic RCEは2026年7月1日公開のブリテン（ColdFusion=APSB26-68／Campaign Classic=APSB26-69、月例の最終回）であり、7月14日に公開された12件のアドバイザリ（新「月2回」定例の初回。ColdFusionはAPSB26-82で最大CVSS 9.9）とは別のリリースである点を整理。②ColdFusionのCVE-2026-48282（CVSS 10.0）が実際に悪用され、7月7日にCISAのKEVへ登録された最新状況を追記。
Adobeは2026年7月1日（現地時間）、ColdFusionとCampaign Classicに含まれる「CVSS 10.0＝最大深刻度」のリモートコード実行（RCE）を修正するセキュリティブリテン（ColdFusion=APSB26-68／Campaign Classic=APSB26-69）を公開しました。その2週間後の7月14日には、Adobeが新たに始めた「月2回」定例（後述）の初回として12件のアドバイザリ（約88件のCVE）が公開されています。情シスが今すぐ確認すべきは、まず7月1日のColdFusion／Campaign ClassicのCVSS 10.0 RCEです。いずれも認証不要・低複雑度で、ColdFusionのCVE-2026-48282は7月2日以降に実際の悪用が観測され、7月7日にCISAのKEV（悪用が確認された脆弱性カタログ）へ追加されました（連邦機関の是正期限は7月10日）。Adobeは最優先（Priority 1）に「72時間以内を目安」の適用を求めています。まずはサーバ製品を最優先で対応しましょう。
この記事でわかること
- 今回のAdobe更新で「本当に急ぐべき」製品はどれか
- ColdFusion・Adobe Commerceなどの深刻度と対応期限の目安
- Adobeが公開頻度を「月2回」に変えたことの運用インパクト
- 自社で確認すべきポイントと優先度の判断材料
何が起きたのか
今回のポイントは、時期の異なる2つのリリースを分けて捉えることです。報道では両者がまとめて語られがちですが、含まれる脆弱性の深刻度が異なります。
- 7月1日（月例の最終回）：ColdFusion（APSB26-68）とCampaign Classic（APSB26-69）で、CVSS 10.0（最大深刻度）のRCEを修正。優先度は最高（Priority 1）。
- 7月14日（新「月2回」定例の初回）：ColdFusion（APSB26-82）、Adobe Commerce（APSB26-73）、Experience Manager、Illustrator、Premiere Pro、After Effects、Bridge など12件のアドバイザリ（約88件のCVE）を公開。この回のColdFusionは最大でCVSS 9.9で、CVSS 10.0やCampaign Classicは含まれません。
脆弱性の総数は集計方法により報道差があります（7月14日分をSecurity NEXTは89件、Zero Day Initiativeは約88件のユニークCVEと集計）が、件数よりも「どの製品のどの深刻度か」を見極めることが実務上は重要です。
とくに急ぐべきは「最大深刻度」のRCE（7月1日分）
- ColdFusion（2025／2023系、2025.9・2023.20以前）：複数のCVSS 10.0の脆弱性。認証不要・ユーザー操作なし・低複雑度でリモートからのコード実行が可能とされ、優先度は最高（Priority 1）。代表例としてCVE-2026-48276、CVE-2026-48277、CVE-2026-48281、CVE-2026-48316などが挙げられています（ブリテンAPSB26-68）。とくにCVE-2026-48282（パストラバーサル、CVSS 10.0）は実際の悪用が確認され、CISA KEVに登録済みです。
- Campaign Classic（7.4.3 build 9396以前）：CVSS 10.0の任意コード実行（CVE-2026-48286、APSB26-69）。影響を受けるのはオンプレミス構成とされています。
- Adobe Commerce／Magento Open Source：7月14日分でCVSS 9.1（Critical）。出力エスケープ不備を突いた任意コード実行が可能（ブリテンAPSB26-73）。優先度は2、対応期限の目安は30日以内。
- Experience Manager、Illustrator：7月14日分でCVSS 9.0以上を含む修正あり。
デスクトップ製品は優先度3
Audition、Premiere Pro、After Effects、Animate、Media Encoder、Bridge、Creative Cloud Desktop、Content Credentials SDK などは優先度3に分類されています。これらは「悪意あるファイルを開く」等の操作が前提になりやすく、サーバ製品ほどの即時性はありません。とはいえ放置してよいわけではないので、通常の更新サイクルで確実に当てましょう。
なぜColdFusionを最優先にすべきか
「CVSS 10.0が並んでいるから」だけが理由ではありません。ColdFusionはWebアプリケーションサーバであり、インターネットに面して公開されているケースが少なくない点が問題です。攻撃者が事前認証なしにコードを実行できる欠陥は、外部公開されたサーバでは即座に侵入口になります。そして今回はまさにそれが現実になりました：本アップデートのCVE-2026-48282（CVSS 10.0のパストラバーサル）は、7月2日に技術解説が公開された直後から悪用が観測され、7月7日にCISAのKEVへ追加（連邦機関の是正期限7月10日）されています。「悪用未確認」は「安全」を意味しません。パッチ公開後は攻撃者による解析（差分リバースエンジニアリング）が進み、実証コードが出回るまでの時間が短いのが実情です。
質問：オンプレとクラウド、どちらが自社の責任範囲か？
短く言えば、オンプレミス（自社運用）の製品は自分たちで即パッチ、クラウド（Adobe管理）は提供元の対応状況を確認、が原則です。ColdFusionやCampaign Classicのオンプレ構成、自社サーバ上のCommerce（Magento Open Source含む）は、更新の責任が自社にあります。Adobeが運用するマネージド環境については、適用時期をベンダーに確認しましょう。
見落としがちな変化：公開頻度が「月2回」に
今回の地味だが重要な変更点として、Adobeは2026年7月14日を起点に、セキュリティアドバイザリの定例公開を「月1回」から「月2回（毎月第2・第4火曜）」に変更しました。緊急のゼロデイ対応はこれとは別に随時提供されます。
これは情シスのパッチ管理カレンダーに直接効いてきます。これまで「Adobeは月1回チェックすればよい」という運用だった組織は、確認と検証のサイクルを月2回に組み替える必要があります。担当者のリマインダー、脆弱性管理ツールのスキャン頻度、変更管理のスケジュールを見直しておきましょう。
現場目線の課題
正直なところ、限られた人員でこれだけの製品を横断的に把握し続けるのは楽ではありません。ColdFusionのように「昔導入したまま、担当者も代替わりして、どこで動いているか棚卸しが怪しい」サーバほど、こういう最大深刻度のパッチで肝を冷やすものです。今回のような更新のたびに痛感するのは、「資産の棚卸し（どのサーバで何のバージョンが動いているか）」ができていないと、そもそも影響判定のスタートラインに立てないという現実です。デスクトップの更新は各自の端末に任せがちで目が届きにくく、サーバは「止められない」事情で後回しになりやすい。この二重の難しさは多くの現場で共通ではないでしょうか。
情シスはどうすべきか
- 資産の特定：ColdFusion、Commerce、Campaign Classic、Experience Managerのオンプレ／外部公開の有無を最優先で洗い出す。特にインターネットに面したColdFusionは即確認。
- 優先度に沿って適用：Priority 1（7月1日のColdFusion・Campaign Classic）はできるだけ早く（目安72時間）、Priority 2（Commerce）は検証のうえ30日以内、デスクトップ系は通常サイクルで。
- 暫定緩和：即時適用が難しいサーバは、外部からの到達経路の制限（WAF・アクセス制御・管理画面の非公開化）で露出を下げる。ただし恒久対策はパッチであることを忘れない。
- 公開頻度の月2回化を運用に反映：チェック・検証・展開のスケジュールを見直す。
手順の型づくりには、公的機関の指針が近道です。まずはIPA「中小企業の情報セキュリティ対策ガイドライン」で脆弱性対応・資産管理の基本形を押さえ、体制づくりの参考にしてください。個々の脆弱性の一次情報は各Adobeブリテン（下記出典）で必ず確認しましょう。
まとめ
- 7月1日公開のColdFusion（APSB26-68）とCampaign Classic（APSB26-69）にCVSS 10.0（最大深刻度）のRCE。ColdFusionのCVE-2026-48282は既に悪用が確認されCISA KEV登録済み。外部公開サーバは最優先で対応を。
- 件数の多さより製品と深刻度の見極めが肝心。Priority 1のサーバ製品→Commerce→デスクトップの順に対応する。
- Adobeは公開頻度を月2回（第2・第4火曜）に変更（7月14日起点）。パッチ管理のカレンダーを組み替えておく。
出典
- Security NEXT「Adobe、アドバイザリ12件で脆弱性89件に対応」：https://www.security-next.com/187649
- Adobe Security Bulletin（ColdFusion, APSB26-68）：https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html
- Adobe Security Bulletins and Advisories（一覧）：https://helpx.adobe.com/security/security-bulletin.html
- Adobe Security Blog「月2回への移行（2026-07-14起点）」：記事はこちら
- CISA「Known Exploited Vulnerabilities Catalog 追加（CVE-2026-48282、2026-07-07）」：記事はこちら
- BleepingComputer「Adobe patches seven max severity ColdFusion, Campaign flaws」：記事はこちら
- 関連：脆弱性・脅威情報の記事一覧 ／ 用語解説（RCE・CVSSなど）
本記事は公開時点の情報に基づきます。CVE番号・対象バージョン・修正ビルドの正確な最新情報は、必ず上記のAdobe公式ブリテンでご確認ください。
