Adobe Connectアプリにコード実行の脆弱性、Adobeが告知
Adobe ConnectのデスクトップアプリとAndroidアプリに、利用者の権限で任意のコードを実行されるおそれのある重大な脆弱性が見つかりました。会議やウェビナーにこのアプリを使っている組織が対象で、まずは端末の版を洗い出し、Adobeの告知に沿って更新する流れになります。
急ぎ度: 早めに
CVSS v3は9.6の重大で、利用者の操作が必要とはいえ細工されたURLを開くだけで成立し得ますが、KEVへの掲載もなく、Adobeが告知を出しているため、計画的な更新ではなく早めに更新する段階です。
関係があるか
Adobe Connectのデスクトップアプリ（Windows・Mac）かAndroidアプリを、社員や外部の参加者の端末に入れている組織が対象です。社外とのウェビナーや研修でConnectを使っている部署は、とくに端末の数が把握しにくくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Adobe Connect Desktop App（Windows） | 2026.8.51以前 | 版番号はAdobeのセキュリティ情報APSB26-182で確認してください |
| Adobe Connect Desktop App（Mac Silicon） | 2026.08.45 | 版番号はAdobeのセキュリティ情報APSB26-182で確認してください |
| Adobe Connect Desktop App（Mac Intel） | 2026.01.39 | 版番号はAdobeのセキュリティ情報APSB26-182で確認してください |
| Adobe Connect Android Mobile App | 4.4以前 | 版番号はAdobeのセキュリティ情報APSB26-182で確認してください |
確かめ方
- 1資産管理ツールやMDMで、Adobe Connectのデスクトップアプリ（Windows・Mac）とAndroidアプリが入っている端末を一覧にします。
- 2各端末でアプリのバージョン情報を開き、上の表の版以前かどうかを照らし合わせます。Macは搭載チップによって見る版が違うため、先にチップの種類を確認してください。
- 3管理外の個人端末や、外部講師・取引先に配っているアプリがないかを、会議やウェビナーの担当部署に確かめます。
何が起きたか
Adobe Connectのデスクトップアプリ（WindowsとMac）とAndroidアプリに、攻撃者が用意したコードを、アプリを使っている人の権限で実行されてしまう脆弱性があります。
分類はコード生成の制御が不適切なために起きるコードインジェクション（CWE-94）です。Adobeは2026年10月27日にセキュリティ情報APSB26-182を公表しました。
深刻度はCVSS v3で9.6、評価は重大です。Adobeの説明では、影響の範囲が脆弱なアプリの外まで広がり得る（Scopeが変わる）ものとされています。
攻撃の流れ
-
1
細工した入口
攻撃者が、細工したURLや改ざんしたWebページを用意します。
-
2
利用者が接触
Connectの利用者がそのURLを開くか、ページ上で操作します。
-
3
コードが実行
アプリが意図しないコードを組み立てて実行します。
-
4
利用者権限で影響
その端末で、ログインしている利用者と同じ権限の操作が行われます。
どう悪用されるか
攻撃にあたって認証は要りません。ネットワーク越しに仕掛けられ、複雑な条件も必要ないと評価されています。ただし利用者の操作が前提で、細工されたURLを開く、改ざんされたWebページを操作するなどが必要です。
成功すると、アプリを使っている人の権限で任意のコードが実行されます。機密性・完全性・可用性のいずれにも大きな影響が出るという評価で、端末内のファイルの読み出しや書き換え、動作の停止まで想定されます。管理者権限で日常的にアプリを使っている端末ほど、被害は大きくなります。
今すぐやること
-
1
対象端末の洗い出し
Windows・Mac・Androidのどの端末にConnectのアプリが入っているかを、資産管理ツールやMDMで一覧にします。
-
2
修正版への更新
AdobeのAPSB26-182に載っている修正版に、各アプリを更新します。更新を配布できる端末から順に進め、Macは搭載チップごとの版を確認してください。
-
3
利用者への周知
更新が済むまでは、Connectに関するリンクでも出どころの分からないものは開かないよう、利用者に知らせます。管理外の端末や社外の参加者にも、更新を案内してください。
-
4
更新後の版を確認
更新した端末で、アプリのバージョン情報が修正版になっていることを確認し、未更新の端末を洗い出して追います。
すぐ更新できないとき
Adobeの告知に回避策が載っているかは、告知の本文で確認してください。更新できるまでの暫定策としては、対象アプリを使う端末を管理者権限で運用しない、業務に不要な端末からアプリを外す、といった方法で被害の範囲を狭められます。
背景
Adobe Connectは、Web会議・ウェビナー・オンライン研修に使われるプラットフォームです。デスクトップアプリとモバイルアプリは、参加者の手元の端末で動くクライアントで、社員だけでなく取引先や受講者の端末にも入りがちです。管理者の目が届かない端末が多くなるため、サーバー側の更新と違い、更新の適用状況をそろえにくい面があります。
コードインジェクションは、アプリが外部から渡された内容を、そのままコードとして組み立ててしまうときに起きる種類の脆弱性です。クライアント側で起きると、実行される権限は利用者本人と同じになります。今回のように、日常的に使われるアプリが対象の場合は、更新が行き渡るまでの期間がそのまま、露出する期間になります。
よくある質問
Q.Macで版番号が2つ書かれているのはなぜですか。
Q.個人のスマートフォンに入っているAndroidアプリはどう扱えばよいですか。
まだ分かっていないこと
- 修正版の版番号は、AdobeのAPSB26-182で確認してください。iOSアプリやサーバー側の製品が対象かどうかは、ここで挙げた製品の一覧に記載がありません。
- 実際の攻撃で悪用された事例や、攻撃の具体的な経路は公表されていません。最新の状況はAdobeの告知で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Adobe | Adobe Connect Desktop App |
2026.8.51 (Win), 2026.08.45 (Mac Silicon), 2026.01.39 (Mac Intel) 以前 |
— |
| Adobe | Adobe Connect Android Mobile App |
4.4 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Adobe Connect is affected by an Improper Control of Generation of Code ('Code Injection') vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web adobe.com
- web nvd.nist.gov
- web github.com