重要ポイント
Adobe ColdFusionに影響を与える重大な脆弱性の詳細が明らかになりました。CVE-2026-48282として正式に登録されたこの脆弱性は、Webインフラに重大なリスクをもたらします。
この問題は、Webエンドポイントを通じて露出しているColdFusion RDS FILEIOハンドラーのパストラバーサルの脆弱性に起因しています。この脆弱性により、認証されていない攻撃者がサーバー上でファイルを読み書きすることができます。また、リモートコード実行（RCE）を行える可能性があります。
Adobeはパッチを適用してこの問題に対処しましたが、多くの本番環境が依然としてリスクにさらされています。
AkamaiはプロアクティブにAdaptive Security Engine Rapid Ruleを導入して、この脅威からお客様を保護しています。
脆弱性の詳細
この問題の核心は、Adobe ColdFusion RDS FILEIOハンドラーに存在するパストラバーサルの脆弱性です。攻撃者はこの脆弱性を利用してファイルパスを操作することができ、ファイルシステムに不正にアクセスする可能性があります。エンドポイントがWebインターフェースを通じて公開されており、ユーザーのインタラクションを必要としないため、攻撃者にとって非常にアクセスしやすい状態となっています。
この脆弱性は、CFIDE/main/ide.cfm?ACTION=FILEIOエンドポイントを標的とする攻撃で悪用される可能性があります。攻撃者は、巧妙に作成されたapplication/octet-streamのボディを送信することで、不正なファイルパス、トラバーサルシーケンス、またはファイル書き込み操作を供給することができます。ハンドラーがそれを誤って処理すると、任意のファイルアクセスやRCEにつながります。
Adobe ColdFusionへの攻撃の仕組み
この攻撃は、RDS FILEIOハンドラーが入力を適切にサニタイズ（無害化）しないことを悪用しています。攻撃者は、脆弱性のあるエンドポイントに対して、特別に作成されたHTTPリクエストを送信します。
ファイルの読み書き：攻撃者は、トラバーサルシーケンス（例えば、「../」）を挿入することで、意図されたディレクトリ外の機密ファイルへのアクセスや、既存の設定ファイルの上書きを行うことができます。
RCE：攻撃者は、Webからアクセス可能なディレクトリに悪性のファイル（.cfmファイルなど）を書き込むことで、サーバー上で任意のコードを実行し、環境を完全に支配することができます。
この脆弱性は、認証を必要とせずにファイルを直接操作することを可能とするため、公開されているColdFusionインスタンスに対する重大な脅威となります。
この脆弱性は、以下のAdobe ColdFusionのコアバージョンに存在します。
Adobe ColdFusion 2025.9以前
Adobe ColdFusion 2023.20以前
この脆弱性を修正するために、ユーザーはAdobeがAPSB26-68で提供したセキュリティアップデートを直ちに適用する必要があります。
Akamai App & API Protectorによる緩和
AkamaiはAkamai App & API Protectorをご利用のお客様向けに以下のAdaptive Security Engine Rapid Ruleを導入し、この脅威への対応策を提供しました。
3000985 — Adobe ColdFusion RDSの悪用試行を検知（CVE-2026-48282）
まとめ
Akamai App & API Protectorには、最新のAdobe ColdFusionの脅威からお客様を保護するための新しいルールが導入されています。
Webアプリケーションファイアウォール（WAF）のルールは既知の攻撃パターンを特定し、ブロックできますが、最も効果的な防御はベンダーが提供するパッチを速やかに適用することです。この問題の影響度を考慮すると、アップデートはできるだけ早く適用すべきです。
Akamai Security Intelligence Groupは、お客様とセキュリティコミュニティ全体のために、このような脅威を監視し、報告し、緩和策を作成し続けます。Akamai Security Intelligence Groupの最新ニュースは、Akamaiの調査ホームページをご覧になるか、Akamaiのソーシャルメディアをフォローしてご確認いただくことができます。
タグ
