Adobe Experience Manager Formsに重大な脆弱性(CVE-2025-54253,CVE-2025-54254)

セキュリティニュース

投稿日時: 更新日時:

Adobe Experience Manager Formsに重大な脆弱性(CVE-2025-54253,CVE-2025-54254)

Adobe Systems社は2025年8月5日、Adobe Experience Manager (AEM) Forms on JEE において、重大なセキュリティ脆弱性2件を修正するパッチをリリースしました。これらの脆弱性はすでにProof-of-Concept（PoC）が公開されており、企業環境におけるリスクが高まっています。

公開された脆弱性の概要

今回公表された脆弱性は以下の2件で、いずれもAdobe Experience Manager Forms on JEE バージョン6.5.23.0以前に存在します。

脆弱性 内容 深刻度 CVSSスコア
CVE-2025-54253 誤った設定によりリモートから任意のコードが実行可能（RCE） 緊急（Critical） 10.0
CVE-2025-54254 XML外部エンティティ（XXE）の制限不備により任意ファイルの読み取りが可能 緊急（Critical） 8.6

最も深刻なCVE-2025-54253は、AEM Formsの設定ミスに起因するもので、攻撃者が対象システム上でリモートから任意のコードを実行可能となる脆弱性です。この脆弱性はユーザーの操作を必要とせず、スコープが変化するため、インターネットに公開されたインスタンスや内部環境のいずれでも深刻な影響を及ぼす可能性があります。

Adobeによれば、この脆弱性のPoCはすでに公開されているものの、現時点では実際の攻撃には利用されていないとのことです。

CVE-2025-54254：XXEによるファイル読み取り（CVSS 8.6）

もう一つの脆弱性であるCVE-2025-54254は、XML External Entity（XXE）処理の不備により、攻撃者がローカルファイルシステム上の任意ファイルを読み取れる可能性があるというものです。これにより、サーバ上の認証情報や設定ファイルなどの機密情報が漏洩するリスクが生じます。

PoCがすでに公開されており、こちらも実際の悪用は確認されていませんが、迅速な対応が求められます。

影響対象とアップデート情報

両脆弱性は、AEM Forms on JEE の6.5.23.0およびそれ以前のバージョンに存在し、Adobeは優先度「1（最優先）」として、最新ビルド（6.5.0-0108以降）へのアップデートを強く推奨しています。

アップデート対象

  • 製品：Adobe Experience Manager (AEM) Forms on JEE

  • 対象バージョン：6.5.23.0以前

  • 修正バージョン：6.5.0-0108

  • プラットフォーム：全プラットフォーム

  • 優先度：1（最も緊急）

Adobeのセキュリティ情報によると、今回の脆弱性はAssetnote社のShubham Shah氏とAdam Kues氏によって報告されたものです。

実際の被害は？

Adobeとセキュリティ研究者によると、現時点ではこれらの脆弱性を悪用した実際の攻撃（in-the-wild）は確認されていません。ただし、PoCが公開されていることから、攻撃者による試行が今後増加することは十分に想定されます。

とくにCVE-2025-54253はCVSSスコア10.0という「最大深刻度」に分類されており、リモートコード実行が可能な点から、企業のWebアプリケーションインフラに対して極めて高いリスクをもたらします。

関連記事

英機密ネットワークへの中国による不正アクセスは無い-元NCSC長官シーアン・マーティン氏が否定英機密ネットワークへの中国による不正アクセスは発生していない-元NCSC長官シーアン・マーティン氏が否定 任天堂のNintendo Switch Onlineを騙る迷惑メール(フィッシングメール)の実例-公式も注意喚起任天堂のNintendo Switch Onlineを騙る迷惑メール(フィッシングメール)の実例-公式も注意喚起 ServiceNowの脆弱性 CVE-2026-6875、パッチ翌日のPoC公開から4日でサイバー攻撃へ悪用ServiceNowの脆弱性 CVE-2026-6875、パッチ翌日のPoC公開から4日でサイバー攻撃へ悪用 AI コーディングエディタ Cursorに深刻な脆弱性(CVE-2026-50548、CVE-2026-50549)-DuneSlideAI コーディングエディタ Cursorに深刻な脆弱性(CVE-2026-50548、CVE-2026-50549)-DuneSlide Chromeウェブストアに737個の偽VPN拡張機能、有名ブランドを装いSOCKS5プロキシへ通信を誘導 7万5,000件超がインストールChromeウェブストアに737個の偽VPN拡張機能、有名ブランドを装いSOCKS5プロキシへ通信を誘導 7万5,000件超がインストール FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471) 経産省、脆弱性に関するパートナーシップガイドラインに則した対応を改めて要請経産省、脆弱性に関するパートナーシップガイドラインに則した対応を改めて要請 なぜパワハラは内部不正を生むのか―犯罪心理学者が解説する「モノ言えぬ組織」のセキュリティリスクなぜパワハラは内部不正を生むのか―犯罪心理学者が解説する「モノ言えぬ組織」のセキュリティリスク イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表