概要
CVE-2026-27265は、Adobe Experience Manager (AEM) に存在する保存型クロスサイトスクリプティング（Stored XSS）の脆弱性です。この脆弱性は、低権限の攻撃者によって悪用される可能性があり、脆弱なフォームフィールドに悪意のあるスクリプトを注入されることで、そのページを閲覧したユーザーのブラウザ上で不正なJavaScriptが実行される恐れがあります。
影響範囲
この脆弱性の影響を受けるのは、以下のAdobe Experience Managerのバージョンです。
- Adobe Experience Manager バージョン 6.5.23 およびそれ以前
想定される影響
この脆弱性が悪用された場合、以下のような影響が想定されます。
- 低権限の攻撃者によって、ウェブページに悪意のあるスクリプトが恒久的に埋め込まれる可能性があります。
- 脆弱なフィールドを含むページを閲覧したユーザーのブラウザ上で、注入されたJavaScriptが実行される可能性があります。
- これにより、セッションハイジャック、ユーザーの個人情報や認証情報の窃取、ウェブサイトの改ざん、マルウェアの配布など、様々なセキュリティ上の脅威に繋がる可能性があります。
攻撃成立条件・悪用状況
攻撃が成立するためには、低権限の攻撃者がAdobe Experience Manager内の脆弱なフォームフィールドにアクセスし、悪意のあるスクリプトを保存できることが条件となります。
現時点では、この脆弱性の具体的な悪用状況に関する公開情報は報告されていません。
推奨対策
今すぐできる対策（優先度：高）
- Adobe Experience Managerのアップデート: Adobe社から提供される修正済みバージョンへ、速やかにアップデートすることを強く推奨します。
中長期的な対策
- 入力値の検証とサニタイズ: ユーザーからの入力値をサーバー側で厳格に検証し、不適切な文字やスクリプトを無害化（サニタイズ）する処理を徹底してください。
- 出力エンコーディングの徹底: ユーザー提供のデータをHTMLとして出力する際には、必ず適切なエンコーディング処理を施し、ブラウザがスクリプトとして解釈しないようにしてください。
- コンテンツセキュリティポリシー (CSP) の導入: ウェブサイトにコンテンツセキュリティポリシー (CSP) を導入することで、XSS攻撃による影響を軽減できる可能性があります。
一時的な緩和策
具体的なパッチが適用できない場合、以下の緩和策を検討してください。
- Adobe Experience Managerへのアクセス権限を厳格に管理し、信頼できないユーザーからの入力やコンテンツの編集を制限してください。
- ウェブアプリケーションファイアウォール (WAF) を導入し、XSS攻撃パターンを検知・ブロックする設定を強化することも有効な場合があります。
確認方法
ご自身の環境がこの脆弱性の影響を受けるかどうかは、現在ご利用中のAdobe Experience Managerのバージョンを確認することで判断できます。バージョンが6.5.23以前である場合は、影響を受ける可能性があります。