Adobe、2026年9月のセキュリティ情報 ～9製品にゼロデイを含む174件の脆弱性

Adobeが公開した2026年9月のセキュリティ情報

　米Adobeは9月8日（現地時間）、月例のセキュリティ情報を発表した。「Adobe Commerce」については、悪用が確認された脆弱性に対する緊急更新が前日の9月7日にも公表されている。

　今回のセキュリティアップデートは、「Acrobat」「Acrobat Reader」、「Photoshop」、「Illustrator」など9製品が対象。修正対象のCVEは、依存ライブラリの更新分を含めて計174件にのぼる（括弧内は件数、最大深刻度、最大CVSS基本値、パッチ適用の優先度）。

• APSB26-146：Adobe Commerce/Magento Open Source（1件、Critical、10.0、優先度1）※9月7日公開
• APSB26-119：Adobe ColdFusion（9件、Critical、9.9、優先度1）
• APSB26-142：Adobe Campaign Classic（1件、Critical、10.0、優先度1）
• APSB26-98：Adobe Experience Manager（109件、Critical、9.9、優先度2）
• APSB26-141：Adobe Acrobat/Reader（32件、Critical、8.8、優先度2）
• APSB26-138：Adobe Commerce/Magento Open Source（8件、Critical、9.3、優先度2）
• APSB26-130：Adobe Photoshop（8件、Critical、8.6、優先度3）
• APSB26-131：Adobe Illustrator（3件、Critical、8.6、優先度3）
• APSB26-136：Adobe Photoshop Mobile（2件、Important、7.4、優先度3）
• APSB26-132：Adobe Animate（1件、Critical、8.2、優先度3）

　なかでも、「Adobe Commerce」（APSB26-146）でアナウンスされた任意のコード実行につながる「Critical」脆弱性 「CVE-2026-75650」 には警戒が必要。すでに悪用が確認されており、CVSSの基本値は10点中満点の「10.0」、優先度も最高の「1」とされている。一刻も早い対処が必要だ。9月8日公開の通常更新（APSB26-138）に加え、この脆弱性向けのホットフィックスも適用する必要がある。

　なお、これ以外の脆弱性については、現時点で悪用の報告はないとされている。

　そのほかにパッチの適用優先度が最高の「1」に指定されたのは、「ColdFusion」と「Campaign Classic」の2製品。72時間以内を目安とした早急な対応が推奨されている。

　優先度「2」となっているのは「Experience Manager」「Acrobat/Reader」と、8日公開分の「Commerce」（APSB26-138）。30日以内を目安とした更新が推奨されている。とくに「Experience Manager」は109件と件数が突出しており、最大CVSS基本値も「9.9」と高い。

　残る「Photoshop」「Illustrator」「Photoshop Mobile」「Animate」は優先度「3」。アップデートの実施は勧められているものの、いつ行うかは各自の判断にゆだねられている。

　なお、件数は各速報の修正対象一覧をもとに集計した。「Experience Manager」の109件には、依存ライブラリの更新で対処した2件を含む。