CVEウォッチ

CVE-2026-27266: Adobe Experience Managerにおける保存型クロスサイトスクリプティングの脆弱性

March 11, 2026 ·

概要

CVE-2026-27266は、Adobe Experience Manager (AEM) のバージョン6.5.23およびそれ以前に存在する、保存型クロスサイトスクリプティング (Stored XSS) の脆弱性です。この脆弱性が悪用された場合、低権限の攻撃者によって悪意のあるスクリプトが脆弱なフォームフィールドに注入される可能性があります。その結果、当該ページを閲覧したユーザーのブラウザ上で、注入された悪意のあるJavaScriptが実行される恐れがあります。本脆弱性の深刻度は、CVSSスコア5.4で「中」と評価されています。

影響範囲

  • Adobe Experience Manager バージョン 6.5.23 およびそれ以前

想定される影響

本脆弱性が悪用された場合、以下のような影響が想定されます。

  • 脆弱なフォームフィールドに悪意のあるJavaScriptコードが永続的に保存される可能性があります。
  • 当該ページを閲覧したユーザーのブラウザ上で、保存された悪意のあるスクリプトが実行される可能性があります。
  • これにより、セッションハイジャック、ユーザー情報の窃取、Webサイトの改ざん、フィッシング攻撃など、様々なセキュリティ上の脅威につながる恐れがあります。

攻撃成立条件・悪用状況

攻撃成立条件

低権限の攻撃者が、脆弱なフォームフィールドにアクセスし、悪意のあるスクリプトを保存できる環境にある場合に攻撃が成立する可能性があります。

悪用状況

現時点では、この脆弱性が実際に悪用されているという具体的な報告は確認されていません。

推奨対策

今すぐできる対策（最優先）

  • Adobe Experience Managerのアップデート: Adobeから提供される最新の修正バージョンへ、速やかにアップデートを実施してください。具体的な修正バージョンについては、Adobeの公式セキュリティアドバイザリを確認することが最も重要です。

中長期的な対策

  • Webアプリケーションファイアウォール (WAF) の導入・設定強化: WAFを導入している場合は、XSS攻撃に対する検知・防御ルールを強化することを検討してください。
  • 入力値の検証と出力時のエスケープ処理の徹底: ユーザーからの入力値を厳密に検証し、出力時には適切なエスケープ処理を施すよう、開発プロセスや運用体制を見直してください。
  • 定期的なセキュリティ診断の実施: 定期的にWebアプリケーションのセキュリティ診断を実施し、潜在的な脆弱性を早期に発見し対処する体制を構築してください。

一時的な緩和策

根本的な解決策はベンダーからの修正パッチ適用が最善ですが、それが困難な場合は以下の緩和策を検討してください。

  • Adobe Experience Managerの管理画面や、信頼できないユーザーからの入力が可能なフォームフィールドへのアクセス制限を強化してください。
  • 影響を受ける可能性のあるフォームフィールドの利用を一時的に停止するか、厳重な監視体制を敷くことを検討してください。

確認方法

現在ご利用中のAdobe Experience Managerのバージョンを確認し、本脆弱性の影響を受けるバージョン（6.5.23以前）に該当するかどうかを確認してください。

参考情報