Adobe 8月定例更新51件 ColdFusionが最優先

2026年8月11日（日本時間8月12日）、Adobeが月例のセキュリティ更新を公開しました。ブルテンは5本、修正されたCVEは合計51件です。

今月の特徴は、最大深刻度CVSS 10.0が3件あるにもかかわらず、その3件も、最優先とされた2製品も、すべてサーバ側の製品だという点です。Acrobat/Readerのブルテンは今回の5本に含まれていません。「Adobeの月例更新＝全社員のPCでReaderを更新する日」という反射で読むと、今月は優先順位を取り違えます。

今すぐ動くべきなのはColdFusion（APSB26-90）とCampaign Classic（APSB26-123）を自社で運用している場合で、Adobeはこの2本に導入優先度1（＝72時間以内の適用を推奨）を付けています。

この記事でわかること

• 2026年8月Adobe定例更新の全体像（5ブルテン・51件の内訳）
• 優先度1の2製品で修正されたCVSS 10.0級の脆弱性の中身
• Campaign Classicが「8日前に出したパッチ」を差し替えた意味
• Adobeの「導入優先度（Priority）」の読み方と、CVSSとの使い分け
• ColdFusionという「台帳に載っていない資産」をどう洗い出すか

何が公開されたのか：5ブルテン・51件

今回公開されたブルテンと件数は次のとおりです。

内訳の合計は15＋3＋7＋11＋15＝51件で、公表されている総数と一致します。件数が媒体によって食い違いやすい月例更新のニュースでは、この検算をしておくと数字を安心して使えます。

そもそもこの5製品は何をするものか

製品名だけを見ても自社に関係があるか判断できないので、先に整理します。ポイントは「情シスが導入した覚えがなくても、社内のどこかで動いていることがある」という点です。

とくにCommerce（Magento）とCampaign Classicは、情シスが導入に関与していないケースが多い製品です。「Adobeの脆弱性」と聞いて自部門の話だと思わなかった結果、誰も適用しないまま残る、というのが最も起きやすい失敗です。

なおAdobeは「今回修正したいずれの脆弱性についても、実際に悪用された事例は把握していない」と述べています。優先度1が付いているのは悪用が起きているからではなく、悪用されやすい性質だからです。この区別は経営層への説明で効きます（「攻撃されている」と「攻撃されたら終わる」は別の話です）。

Adobeの「導入優先度」はCVSSとは別の指標

Adobeのブルテンには、CVSSスコアとは別に導入優先度（Priority Rating）という1〜3の数字が付きます。これは「どれくらい急いで適用すべきか」をAdobeが判断した値です。

• 優先度1：標的型攻撃で悪用されるリスクが高い。可及的速やかに（72時間以内を目安に）適用
• 優先度2：過去に同種製品への攻撃実績がある。30日以内を目安に適用
• 優先度3：悪用実績が乏しい。通常の更新サイクルで適用

CVSSは「成立したときの深刻さ」を測る指標なので、これだけを見ると今月は「10.0が3件、9点台が3件」と横並びに見えます。実際の対応順を決めているのは優先度のほうです。脆弱性トリアージをCVSSのしきい値だけで自動化していると、この情報が落ちます。

最優先その1：ColdFusion（APSB26-90）

15件の修正のうち、深刻度がクリティカルとされたのは3件です。

CVSS 10.0という値は、ネットワーク経由・認証不要・利用者の操作不要で、機密性・完全性・可用性のすべてが全面的に失われる場合にしか出ません。OSコマンドインジェクションは、アプリケーションが受け取った入力をOSのコマンドとして実行してしまう欠陥で、成立すればWebアプリの権限でサーバ上の任意のコマンドが動きます。同種の欠陥はpgAdmin 4の再修正など、管理系ソフトで繰り返し見つかっています。

ColdFusionは、Adobe製品のなかでもとりわけ攻撃者に好まれてきた実績があります。過去には修正済みの脆弱性がCISAのKEV（悪用が確認された脆弱性カタログ）に収載され、実際の侵入に使われた例もありました。当サイトでも7月の定例更新でColdFusionの緊急修正を扱っています。2か月連続で最大深刻度の修正が出ている状態です。

問題は「うちにColdFusionはあるか」が即答できないこと

ColdFusionは新規案件で採用されることがほとんどなくなった一方、2000年代に構築された社内業務アプリ・申請フォーム・帳票出力の仕組みが、そのまま動き続けているケースが少なくありません。

この手の資産には共通した厄介さがあります。作った人が退職している、外部委託先が保守を終了している、そもそも「Webサーバ」としか台帳に書かれていない、といった状態です。脆弱性管理をCVE番号の通知から始めると、通知は届いても「該当するか分からない」で止まります。

探し方としては、資産台帳よりファイルとポートから当たったほうが早いことが多いです。ColdFusionは既定で /CFIDE/ や /cfdocs/ といったパスを持ち、管理画面が8500番台のポートで動いていることがあります。社内のWebサーバに対して .cfm / .cfc という拡張子のファイルが存在しないかを検索するのも有効です。心当たりのある部署に聞いて回るより、機械的に引いたほうが確実です。

最優先その2：Campaign Classic（APSB26-123）— 8日前のパッチを差し替え

Campaign Classicで修正されたのは3件で、いずれもクリティカルです。

3件とも、成立すると任意コード実行につながるとされています。CVSS 10.0が2件並ぶのは月例更新でもかなり珍しい状況です。認可の不備が単体で最高値になるのは、権限チェックを迂回した先で実行できる操作の範囲が広いことを意味します（認可バイパスの一般的な構造はApache ActiveMQの事例でも整理しています）。CVSS 10.0の未認証RCEがどれだけ危険かという点はVeeam ONEの事例も参考になります。

そして今月いちばん実務的に重いのは、このブルテンが2026年8月3日に公開されたばかりのパッチ（APSB26-120）を差し替えるものだという点です。8日間で作り直された計算になります。

「今月適用したから大丈夫」が通じない

これは運用側にとって地味に嫌な事態です。8月上旬に緊急対応としてCampaign Classicを更新した組織は、作業チケットを閉じ、報告も済ませているはずです。そこへ同じ製品の更新がもう一度降ってくるわけで、「先週やった」という記憶が確認をすり抜けさせます。

対策として現実的なのは、パッチ適用の記録を「適用日」ではなく「ブルテンID」で残すことです。「8月にCampaignを更新済み」ではなく「APSB26-120を適用済み／APSB26-123は未適用」と書けていれば、差し替えを見落としません。前回の修正に不備があって再修正されるパターンは、pgAdmin 4のように定期的に起きます。特別な事故ではなく、想定しておく前提です。

もう一点。Campaign ClassicにはAdobeがホストする形態とオンプレミス運用の形態があり、管理者自身が更新作業をする必要があるのはオンプレミス運用の場合です。自社がどちらなのかを、まず契約と構成から確認してください。

優先度2以下の3製品

Adobe Commerce（APSB26-92、7件・優先度2）は、最大がCVE-2026-71362（CVSS 9.1、不適切な認可による権限昇格）です。ECサイトを運用しているなら、決済・個人情報を扱う基盤である以上、優先度2でも30日を待たずに計画したい対象です。

Lightroom Classic（APSB26-94、11件・優先度3）は写真編集ソフトで、広報・マーケティング部門の端末に入っていることがあります。情シスの管理外で個別に導入されがちなソフトの典型です。

Content Credentials SDK（APSB26-111、15件・優先度3）は、今回の5本のなかでは耳慣れない名前かもしれません。これはコンテンツの来歴（いつ・誰が・どう加工したか）を証明するための仕組みに関わるSDKです。生成AIによる画像の真贋判定が課題になるなかで実装が広がりつつある領域で、「真正性を担保するための部品」自体に15件の脆弱性が見つかったという構図になります。自社で内製アプリに組み込んでいる場合はソフトウェア部品表（SBOM）側での確認が必要です。優先度3ではありますが、今後この種の依存関係は増えていくと見ておいたほうがよいでしょう。

現場目線：今月は「PCの更新」ではなく「サーバの更新」

Adobeの月例更新は、多くの組織で「Acrobat Readerの配布バージョンを上げる作業」として運用に組み込まれています。手順書があり、担当が決まっていて、粛々と回る。それ自体は健全です。

ただ今月のようにAcrobat/Readerが対象外で、代わりにサーバ製品だけが並ぶ月は、その手順書が空振りします。しかも困ったことに、空振りしたことに気づきにくい。「今月のAdobeは対象なし」と読んで終わりにしてしまうと、社内のどこかで動いているColdFusionがCVSS 10.0を抱えたまま残ります。

正直なところ、この「担当が分かれている製品群を、ベンダー単位の月例という単位で受け取る」構造には無理があります。Adobeと聞いてクライアント担当が反応し、サーバ担当には話が回らない、という分断は多くの組織で起きているはずです。月例更新のニュースを見たときに「今回はどのレイヤーの話か」を最初に判定するだけでも、この取りこぼしはかなり減らせます。

加えて今週は、8月11日がMicrosoftの月例パッチと重なり、日本では盆休みの直前という時期です。優先度1の「72時間以内」は、稼働日で数えるとほとんど猶予がありません。全部を今週やろうとせず、ColdFusionとCampaign Classicを自社で持っているかどうかの判定だけは休暇前に終わらせるのが現実的な落としどころだと考えます。持っていないと分かれば、残りは休暇明けで構いません。

情シスはどうすべきか

まず今回の一次情報として、対象バージョンと修正版の番号は各ブルテンの原文で確認してください。製品ごとにサポート対象のバージョンが異なり、要約記事の数字を転記すると事故のもとになります。

そのうえで、今回のような「サーバ製品に偏った更新」を取りこぼさないための土台づくりとしては、公的機関の指針に沿って整えるのが早道です。

• 中小企業の情報セキュリティ対策ガイドライン（IPA） … 情報資産の洗い出しと管理台帳の作り方が具体例つきで載っています。「ColdFusionがどこで動いているか分からない」という状態への処方箋は、結局ここに戻ってきます。付録の管理台帳サンプルは、そのまま流用できる形になっています。
• 対策のしおり（IPA） … 利用部門への周知に使えます。Lightroomのように部門で個別導入されるソフトは、情シスが配るより「各自で更新する理由」を理解してもらうほうが続きます。

地味ですが、脆弱性情報が届いたときに該当有無を1日で判定できる状態にあるかどうかが、この種のニュースへの耐性をほぼ決めます。台帳の整備は成果が見えにくい仕事ですが、今月のColdFusionのような「忘れられた資産」が出てくるたびに効いてきます。

まとめ

1. 2026年8月のAdobe定例更新は5ブルテン・51件。CVSS 10.0が3件あるが、いずれもサーバ製品（ColdFusion・Campaign Classic）で、Acrobat/Readerは今回の対象外。「Adobe＝PCのReader更新」で読むと優先順位を取り違える。
2. 優先度1はColdFusion（APSB26-90）とCampaign Classic（APSB26-123）の2本。Adobeは悪用の確認はないとしているが、72時間以内の適用を推奨している。まず自社に該当資産があるかの判定を優先する。
3. Campaign Classicは8月3日公開のパッチ（APSB26-120）を8日で差し替えている。「今月更新済み」という記憶が確認をすり抜ける。適用記録は日付ではなくブルテンIDで残す。

出典

• Adobe Security Bulletins and Advisories（Adobe公式・ブルテン一覧）
• Adobe ColdFusion セキュリティブルテン一覧（Adobe公式）
• The August 2026 Security Update Review（Zero Day Initiative、2026年8月11日）
• Adobe Urges Immediate Patching of Critical ColdFusion, Campaign Classic Flaws（SecurityWeek、2026年8月11日）
• 中小企業の情報セキュリティ対策ガイドライン（IPA）