重大 9.9 急ぎ度: 早めに

Adobe Connectの更新、重大な脆弱性を多数修正悪用は未確認

Adobe ConnectのWindows版について、SQLインジェクションなど重大な脆弱性を含む修正が2026年11月10日に公開されました。12.12以前を運用している組織は、使っている系列の修正版へ早めに更新してください。

CVE-2026-121898 公開 6:57 更新 6:57 執筆・監修: 佐々木航人が監修しながらAIを活用して執筆

同じ発表の脆弱性 5 件

この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。

急ぎ度: 早めに

CVSS v3が9.1〜9.9の重大な脆弱性にネットワーク経由で悪用できるものが含まれ、修正版は公開済みですが、Adobeは悪用を把握していません。

関係があるか

Windows上でAdobe Connectを自社運用している組織が対象です。Web会議やウェビナーに社外の参加者を呼んでいる環境は、サーバーが外部から届く場所にあることが多く、優先して確認してください。

製品	影響を受ける版	修正版
Adobe Connect(Windows)12.12系列	12.12以前	12.12.a
Adobe Connect(Windows)12.11系列	12.11以前	12.11.i
Adobe Connect(Windows)12.10系列	12.10以前	12.10.f
Adobe Connect(Windows)12.9系列	12.9以前	12.9.a
Adobe Connect(Windows)12.8系列	12.8以前	12.8.a

確かめ方

1Adobe Connectを自社のWindowsサーバーで動かしているかを、情シスまたは運用担当に確認します。
2稼働中の版が12.12以前で、上の表にある系列ごとの修正版に達していなければ対象です。
3サーバーがインターネットから届くかどうかと、一般の利用者や外部ゲストに発行しているアカウントの数も、あわせて確認します。

何が起きたか

Adobeは2026年11月10日、Adobe Connectのセキュリティ更新（APSB26-191）を公開しました。Windows版の12.12以前に、SQLインジェクション、パストラバーサル、格納型クロスサイトスクリプティング、認可の不備といった脆弱性があり、悪用されると権限の昇格や任意のコード実行につながります。

CVE-2026-121898: SQLインジェクション（CWE-89）。現在のユーザーの権限で任意のコードを実行されるおそれがあります（CVSS v3は9.9）
CVE-2026-121904: 格納型クロスサイトスクリプティング（CWE-79）。入力欄に仕込まれたスクリプトが、そのページを開いた利用者のブラウザーで動き、アカウントやセッションの制御を奪われるおそれがあります（CVSS v3は9.6）
CVE-2026-121349: パストラバーサル（CWE-22）。現在のユーザーの権限で任意のコードを実行され、アカウントやセッションの制御を奪われるおそれがあります（CVSS v3は9.6）
CVE-2026-121902: SQLインジェクション（CWE-89）。任意のSQLコマンドを実行され、アプリケーションの機密性・完全性・可用性が損なわれるおそれがあります（CVSS v3は9.4）
CVE-2026-121355: 認可の不備（CWE-863）。機密情報や機能に、本来より高い権限でアクセスされるおそれがあります（CVSS v3は9.1）

この更新に含まれる修正は、この5件だけではありません。勧告の一覧には少なくとも20件のCVEが並び、深刻度はcritical、high、mediumにわたります。ほかの項目には、メモリ内容の露出や任意のファイル読み取りにつながるものも含まれます。

Adobeは、この更新で対処した脆弱性について、実際の攻撃は把握していないと説明しています。

攻撃の流れ

1

サーバーへ到達

攻撃者がネットワーク経由でAdobe Connectのサーバーに接続します。
2

不備を突く

SQL文の処理、ファイルパスの扱い、権限の確認、入力欄の処理のいずれかの不備を狙います。
3

権限を拡大

本来より高い権限を得たり、利用者のセッションの制御を奪ったりします。
4

コード実行・情報窃取

サーバー上で任意のコードを実行し、データベースの内容などに手が届く状態になります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

ネットワーク経由で攻撃でき、利用者の操作が要らない点は、多くの項目に共通します。ただし、必要な権限は項目で異なります。

CVE-2026-121898とCVE-2026-121349は、権限の低いアカウントを持つ攻撃者が対象です。CVE-2026-121904も権限の低い攻撃者が入力欄にスクリプトを仕込む形で、被害者がそのページを開いたときに動きます。この3件はCVSSの評価で、影響がConnectの外にまで及びうる（Scope: Changed）とされています。一方、CVE-2026-121902とCVE-2026-121355は、CVSSのベクターでは認証が不要（PR:N）とされています。ログイン用のアカウントを持たない相手からも狙われうるため、外部公開しているサーバーでは、この2件が特に気になります。

悪用されると、サーバー上での任意のコード実行、SQLを通じたデータベースの読み書き、アカウントやセッションの乗っ取り、本来見られない情報や機能へのアクセスが起こりえます。

今すぐやること

1

稼働中の版を確認する

Adobe Connectの版を、管理者が使っている管理画面や導入記録で確認します。12.12以前なら更新の対象です。
2

系列ごとの修正版へ更新する

使っている系列（12.8〜12.12）に対応した修正版へ更新します。Adobeは最新版への更新を推奨しています。更新の手順はAdobeの勧告にあるインストール手順とリリースノートを参照してください。本番に当てる前に、検証環境で会議の開催と録画の再生を試しておくと、更新後のトラブルを避けられます。
3

更新後に版を再確認する

更新が終わったら、表示される版が修正版になっていることを確かめます。複数台で運用している場合は、全台を確認します。
4

アカウントと公開範囲を棚卸しする

権限の低いアカウントで悪用できる項目があるため、使っていないアカウントや、外部ゲスト向けに広く発行したアカウントを整理します。サーバーを外部に出す必要があるかも、この機会に見直します。

すぐ更新できないとき

Adobeの勧告に回避策の記載はありません。更新までのつなぎとして、サーバーへの接続元をVPNや社内ネットワークに限る、使っていないアカウントを無効にする、といった方法で到達できる相手を減らします。これらは攻撃の機会を減らす手当てで、脆弱性そのものは残ります。

背景

Adobe Connectは、Web会議、ウェビナー、オンライン研修を提供するサーバー製品です。社外の参加者を招く用途が多く、運用する側はサーバーを外部から届く場所に置きがちです。会議の録画、参加者の情報、研修の記録といったデータがサーバー側に集まるため、侵入された場合に失うものも大きくなります。

今回の更新で目立つのは、SQLインジェクションがCVE-2026-121898、CVE-2026-121902を含めて複数の項目にまたがることです。勧告の一覧を見ると、パストラバーサルや認可の不備も複数あります。入力の検査や権限の確認が、製品の複数の機能で不十分だったことをうかがわせます。ひとつの修正だけを選んで当てる運用はできないため、系列ごとの修正版へ丸ごと更新するのが現実的です。

よくある質問

Q.Connectは社内の利用者だけが使っています。急がなくてもよいですか。

A.外部に公開していなければ、攻撃者が到達できる範囲は狭まります。ただし、権限の低いアカウントがあれば悪用できる項目が3件あります。社内の端末やアカウントが侵害された場合を考えると、公開していないからといって先送りしてよい理由にはなりません。通常の保守枠の中で、なるべく早く更新するのが妥当です。

まだ分かっていないこと

勧告は対象のプラットフォームをWindowsとしており、それ以外の提供形態の扱いは書かれていません。
各脆弱性の発見者や、攻撃コードが出回っているかどうかは、勧告に書かれていません。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
Adobe	AdobeAdobe Connect	12.12 以前→ 記載なし	記載なし

この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Adobe Connect is affected by an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.

出典: CVE.org (CVE Program・cvelistV5) NVD

参照URL

web psirt@adobe.com