重大 9.9 急ぎ度: 早めに

Adobe Experience Managerの更新、脆弱性に修正版

Adobe Experience Managerの更新で、低い権限の攻撃者によるコード実行につながる重大な脆弱性4件が修正されました。Cloud Service、6.5、6.5 LTSの利用組織は、該当版かを確認し、修正版かCumulative Hotfixを適用してください。

CVE-2026-113579 公開 7:11 更新 7:11 執筆・監修: 佐々木航人が監修しながらAIを活用して執筆

同じ発表の脆弱性 4 件

この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。

急ぎ度: 早めに

CVSS v3が9.9の重大な脆弱性が4件あり、修正版も出ていますが、Adobeは実際の攻撃を把握していないとしているため、至急ではなく早めの適用が妥当です。

関係があるか

Adobe Experience Managerを自社で運用している組織が対象です。Cloud Service、6.5、6.5 LTSのいずれも、更新前の版は影響を受けます。

製品	影響を受ける版	修正版
Adobe Experience Manager as a Cloud Service	2026.10.29023以前	2026.10.29251
Adobe Experience Manager 6.5	Service Pack 25以前（6.5.25以前）	Service Pack 23、24、25それぞれに対応するCumulative Hotfix for GRANITE-75052。CVE-2026-113579のCVE記録ではGRANITE-75398と書かれているため、配布ページで名称を確認してください
Adobe Experience Manager 6.5 LTS	Service Pack 3以前	Service Pack 1、2、3それぞれに対応するCumulative Hotfix for GRANITE-75052

確かめ方

1自社が運用するAEMが、Cloud Service、6.5、6.5 LTSのどれかを台帳や管理者への確認で特定する。
2Cloud Serviceは現在のリリース版が2026.10.29251以降か、6.5と6.5 LTSは適用済みのService Packとhotfixを確認する。
36.5と6.5 LTSでは、Forms Add-Onを入れているかも確認する。

何が起きたか

Adobe Experience Managerに、低い権限を持つ攻撃者が、ログインしているユーザーの権限で任意のコードを実行できる脆弱性が4件見つかりました。4件ともCVSS v3は9.9で、悪用すると影響がほかのコンポーネントにも広がります。

CVE-2026-113579: コード生成の制御不備（CWE-94）で、任意のコード実行につながる（CVSS v3 9.9）
CVE-2026-113580: 同じくコード生成の制御不備（CWE-94）で、任意のコード実行につながる（CVSS v3 9.9）
CVE-2026-114371: 認可の不備（CWE-863）で、任意のコード実行につながる（CVSS v3 9.9）
CVE-2026-119017: 認可の不備（CWE-863）で、任意のコード実行につながる。影響を受けるのは6.5のみで、Cloud Serviceと6.5 LTSは対象外（CVSS v3 9.9）

Adobeは、この更新で対処した問題について、実際の攻撃は把握していないとしています。

今回の更新（APSB26-189）には、この4件のほかに中程度の脆弱性も含まれます。勧告に載る件数は少なくとも8件で、中程度はクロスサイトスクリプティングと権限昇格です。いずれもCVSS v3は5.4です。

攻撃の流れ

1

低権限で接続

低い権限を持つ攻撃者が、ネットワーク経由でAEMにアクセスする。
2

不備のある処理へ

コード生成の制御不備、または認可の不備がある処理に到達する。
3

コード実行

ログインしているユーザーの権限で、任意のコードが実行される。
4

影響が拡大

影響がほかのコンポーネントにも及び、機密性・完全性・可用性が大きく損なわれる。

公開されている情報をもとにした流れの例です。

どう悪用されるか

4件とも条件は共通です。ネットワーク経由で攻撃でき、攻撃の難易度は低く、利用者の操作は要りません。ただし攻撃者には低い権限のアカウントなどが必要です。

悪用されると、ログインしているユーザーの権限で任意のコードが実行されます。CVSSの評価では、機密性・完全性・可用性のすべてが高い影響で、影響範囲も変わります。同じ更新に含まれる中程度のクロスサイトスクリプティングは、勧告のベクターでは利用者の操作が前提です。

今すぐやること

1

運用中のAEMの種類と版を洗い出す

Cloud Service、6.5、6.5 LTSのどれを、どの環境（本番・検証・開発）で動かしているかを一覧にします。検証・開発環境も対象に含めます。
2

修正版かCumulative Hotfixを適用する

Cloud Serviceは修正版に更新します。6.5と6.5 LTSは、使っているService Packに対応するCumulative Hotfixを入れます。hotfixが案内されているのは6.5がService Pack 23〜25、6.5 LTSがService Pack 1〜3です。それより前の6.5を使っている場合は、Adobeの告知で対応方法を確認してください。
3

Forms Add-Onの有無を確認して対処する

6.5でForms Add-Onを使っているなら、AEM Forms 6.5 SP25 Add-onを適用します。Forms Add-Onを入れていない6.5には、Forms Hotfix for AEM 6.5 QuickStart（1.0.12）があります。6.5 LTSでForms Add-Onを使っている場合も、AEM Forms 6.5 SP25 Add-onで修正されます。Forms Add-Onなしの6.5 LTSは、この権限昇格の脆弱性の対象外です。
4

低権限アカウントを棚卸しする

攻撃には低い権限のアカウントが要るため、編集者や外部委託先に発行しているアカウントを見直し、使っていないものは無効にします。適用が済むまで、不審な操作がないかログも確認します。

すぐ更新できないとき

修正版をすぐに適用できないときのつなぎとして、AEMにログインできるアカウントを必要最小限に絞り、管理画面や編集画面へ到達できるネットワークを限定します。Adobeが案内した回避策ではないため、あくまで適用までの時間かせぎです。

背景

Adobe Experience Managerは、企業のWebサイトやコンテンツを作成・公開するための基盤です。多くの組織では、社内の担当者に加えて、制作会社や代理店にも編集用のアカウントを発行しています。今回の脆弱性は、管理者ではなく低い権限のアカウントで悪用できるため、アカウントを多く発行している環境ほど入口が増えます。

コード実行はサーバー側の処理で起きます。公開サイトの運営だけでなく、AEMにつながる社内システムや保存された顧客向けコンテンツにも影響が及びかねないことが、CVSSのスコープ変更（Scope: Changed）に表れています。

よくある質問

Q.同じ更新に含まれる中程度の脆弱性も、急いで対応する必要がありますか。

A.重大な4件と同じ更新で修正されるため、別に急ぐ必要はありません。CVSS v3は5.4で、クロスサイトスクリプティングは利用者の操作が前提です。重大分の適用と合わせて直します。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
Adobe	AdobeAdobe Experience Manager as a Cloud Service	2026.10.29023 以前→ 記載なし	記載なし
Adobe	AdobeAdobe Experience Manager 6.5	6.5.25 以前→ 記載なし	記載なし
Adobe	AdobeAdobe Experience Manager 6.5 LTS	6.5 LTS SP3 以前→ 記載なし	記載なし

この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Adobe Experience Manager is affected by an Improper Control of Generation of Code ('Code Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.

出典: CVE.org (CVE Program・cvelistV5) NVD

参照URL

web psirt@adobe.com