重大 10.0 急ぎ度: 早めに

Adobe Connectの更新、脆弱性20件以上で修正版あり

Adobe Connectの更新で、認証なしで到達できるものを含む脆弱性が少なくとも20件修正されました。Windowsで自社運用している組織は、版を確認して系列ごとの修正版へ更新してください。

CVE-2026-121353 公開 6:56 更新 6:56 執筆・監修: 佐々木航人が監修しながらAIを活用して執筆

同じ発表の脆弱性 12 件

この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。

急ぎ度: 早めに

実際の攻撃は確認されていませんが、CVSS v3が10.0で認証なしに到達できるものを含み、修正版がすでに出ているためです。

関係があるか

Windows上で自社運用しているAdobe Connect 12.12以前の組織が対象です。Web会議やウェビナーのために社外へ公開している環境は、とくに優先して確認してください。

製品	影響を受ける版	修正版
Adobe Connect(Windows)12.12系	12.12	12.12.a
Adobe Connect(Windows)12.11系	12.11	12.11.i
Adobe Connect(Windows)12.10系	12.10	12.10.f
Adobe Connect(Windows)12.9系	12.9	12.9.a
Adobe Connect(Windows)12.8以前	12.8以前	12.8.a

確かめ方

1運用しているConnectサーバーの版を、管理者の導入記録や管理画面の表示で確認します。12.12以前なら対象です。
2社外から接続できる構成かどうかを、ファイアウォールやリバースプロキシの設定で確認します。
3Adobeなどが運用するホスト型で使っている場合は、更新状況を提供元に問い合わせます。

何が起きたか

Adobeは2026年11月10日、Adobe Connectのセキュリティ更新（APSB26-191）を公開しました。対象はWindows版の12.12以前です。Connectのサーバー側にある、入力の検証や権限確認の不備が中心で、悪用されるとサーバー上のファイル読み取り、任意コードの実行、権限の昇格が起こりえます。いずれも影響が脆弱なコンポーネントの外へ及ぶと評価されています。

同じ発表のうち、次の12件を取り上げます。

CVE-2026-121353: 改行コードの処理の不備（CRLFインジェクション）で、現在のユーザーの権限で任意のコードが実行され、アカウントやセッションを奪われるおそれがあります（CVSS v3は10.0）
CVE-2026-121356: SSRFにより、権限昇格が起こりえます（CVSS v3は10.0）
CVE-2026-121889: SSRFにより、権限昇格が起こりえます（CVSS v3は10.0）
CVE-2026-121351: パストラバーサルにより、本来のアクセス範囲外のファイルやディレクトリを読まれるおそれがあります（CVSS v3は10.0）
CVE-2026-121352: 認可の不備により、機密性の高いリソースへ不正にアクセスされ、権限昇格が起こりえます（CVSS v3は10.0）
CVE-2026-121892: コードインジェクションにより、現在のユーザーの権限で任意のコードが実行されます（CVSS v3は9.9）
CVE-2026-121354: パストラバーサルにより、任意のファイルを読まれるおそれがあります（CVSS v3は9.9）
CVE-2026-121906: パストラバーサルにより、任意のファイルを読まれるおそれがあります（CVSS v3は9.9）
CVE-2026-121894: SQLインジェクションにより、任意のSQLコマンドが実行され、アカウントやセッションを奪われるおそれがあります（CVSS v3は9.9）
CVE-2026-121887: XXE（XML外部エンティティ参照）の制限不備により、現在のユーザーの権限で任意のコードが実行されます（CVSS v3は9.9）
CVE-2026-121908: SQLインジェクションにより、現在のユーザーの権限で任意のコードが実行されます（CVSS v3は9.9）
CVE-2026-121896: SQLインジェクションにより、現在のユーザーの権限で任意のコードが実行されます（CVSS v3は9.9）

Adobeの発表には、この12件のほかにも8件以上が挙がっています。CVE-2026-121898、121349、121904、121902、121355、121913、122102、121900で、SQLインジェクション、パストラバーサル、保存型のクロスサイトスクリプティング、認可の不備が含まれます。CVSS v3は9.4から8.3の範囲です。Adobeは、この更新で対処した問題について、実際の攻撃は把握していないと書いています。

攻撃の流れ

1

サーバーに到達

インターネットや社内ネットワークから、Connectサーバーのウェブ機能へ通信が届きます。
2

検証の不備を突く

入力の検証や権限確認の抜けた機能に、細工された要求が受け付けられます。
3

意図しない処理

ファイル読み取り、SQLの実行、サーバー内部への要求送信、コード実行のいずれかが起こります。
4

権限と情報の奪取

サーバー上のデータや、アカウント、セッションの制御を奪われるおそれがあります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

ネットワーク経由で悪用でき、利用者の操作は要りません。ただし、必要な権限は件ごとに違います。

CVSS v3が10.0の5件（CVE-2026-121353、121356、121889、121351、121352）は、ログインなしで到達できる評価です。9.9の件（CVE-2026-121892、121354、121906、121894、121887、121908、121896）は、低い権限のアカウントが必要です。発表に載る別の件のCVE-2026-121902（SQLインジェクション、CVSS v3は9.4）も、ログインなしで到達できる評価です。

悪用されると、Connectサーバー上のファイルやデータベースの内容が読まれ、現在のユーザーの権限でコードが実行されるおそれがあります。会議の録画、共有資料、参加者の情報が集まるサーバーなので、アカウントやセッションを奪われた場合の影響は広くなります。

今すぐやること

1

運用中のConnectの版を確認する

12.12以前なら対象です。複数の環境（本番、検証、予備）があれば、すべての版を洗い出します。
2

系列ごとの修正版へ更新する

Adobeは、最新の版への更新を勧めています。この更新では、12.12.a、12.11.i、12.10.f、12.9.a、12.8.aが出ています。複数の脆弱性は版を上げれば一度に対処されるので、CVEごとに対応を分ける必要はありません。
3

外部公開の範囲を見直す

社外の参加者が使わないサーバーや管理機能は、インターネットから見えない状態にします。更新の作業が終わるまでの間も、外から届く範囲を狭めておくと被害を抑えられます。
4

アカウントを棚卸しする

9.9の件は低い権限のアカウントがあれば到達できるため、使っていないアカウントや共有アカウントを整理し、パスワードの強さを確かめます。
5

更新までのログを確認する

公表は2026年11月10日です。更新前の期間について、Webサーバーやアプリケーションのログに、身に覚えのない大量の要求やエラーがないかを確認します。

すぐ更新できないとき

Adobeの発表に、更新以外の回避策は書かれていません。更新を当てるまでのつなぎとして、Connectサーバーへのアクセス元をVPNやIPアドレスで絞り、社外の利用者がいない環境では外部公開を止めます。これは一般的な緩和策で、脆弱性そのものは直りません。

背景

Adobe Connectは、Web会議、ウェビナー、オンライン研修を自社のサーバーで運用するための製品です。録画データ、共有資料、参加者の名簿やアカウント情報が1台のサーバーに集まります。社外の参加者を招くために、インターネットへ公開している環境も少なくないでしょう。

今回の更新には、SQLインジェクション、パストラバーサル、SSRF、認可の不備と、入力や権限の扱いに起因する種類が並んでいます。悪用の条件が件ごとに異なるため、個別の回避策を探すより、系列ごとの修正版へ上げるほうが現実的です。

よくある質問

Q.12.12.aより新しい版へ上げる必要はありますか。

A.必要ありません。Adobeは12.12、12.11、12.10、12.9、12.8の各系列に修正版を出しており、使っている系列の修正版へ上げれば、この更新の脆弱性は対処されます。最新の版への更新も勧めています。

Q.Windows以外で動かしている場合は影響しますか。

A.Adobeの発表が対象プラットフォームとして挙げているのはWindowsだけです。それ以外の環境で運用している場合の扱いは、Adobeの告知で確認してください。

まだ分かっていないこと

Adobeなどが運用するホスト型のConnectが、この更新の対象に含まれるかどうかは、発表に書かれていません。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
Adobe	AdobeAdobe Connect	12.12 以前→ 記載なし	記載なし

この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Adobe Connect is affected by an Improper Neutralization of CRLF Sequences ('CRLF Injection') vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue does not require user interaction. Scope is changed.

出典: CVE.org (CVE Program・cvelistV5) NVD

参照URL

web psirt@adobe.com