CVE-2024-53961とは？ColdFusionの影響条件・確認手順と2026年11月時点の更新先

CVE-2024-53961は、Adobe ColdFusionで見つかったパストラバーサル（CWE-22）の脆弱性です。悪用されると、サーバー上の任意のファイルを読み取られるおそれがあります。Adobeは2024年12月23日にセキュリティ情報APSB24-107を公開し、ColdFusion 2023 Update 12と2021 Update 18で修正しました。公表の時点で、概念実証コード（PoC）の存在をAdobe自身が認めていました。

影響を受けるのは条件がそろった環境だけです。前提はpmtagentパッケージが入っていることと、管理画面がインターネットに公開されていることの2つです。一方で、Update 12は2年近く前の修正版で、その後もColdFusionの脆弱性修正は毎月のように続いています。本記事では、2つの条件の確かめ方と、2026年11月時点で当てるべき更新版（2023 Update 26・2025 Update 14）、更新で変わる既定動作までを順に整理します。

まとめ：CVE-2024-53961の要点と今やるべきこと

• 対象はColdFusion 2023 Update 11以前と2021 Update 17以前。修正版は2023 Update 12と2021 Update 18（2024年12月23日公開）
• 影響の前提はpmtagentパッケージの導入。GUIインストーラーとAMIでは既定で入るため、PMTを使っていなくても対象になる
• CVSSはAdobe勧告の7.4、NISTの初期評価9.8を経て、現在のNVDではAdobe・NISTとも8.1（HIGH）
• CISAの悪用実績カタログ（KEV）には2026年10月30日版でも未掲載。同じパストラバーサルでも、2026年6月公表のCVE-2026-48282は悪用されKEVに入った
• 2026年11月時点の更新先は、2023ならUpdate 26、2025ならUpdate 14。どちらも2026年10月13日のAPSB26-144（31件）で出た版
• Update 14・26では外向き通信の制限やネイティブCFXの遮断が既定で有効になる。社内APIへ通信するアプリは更新前に許可リストを用意する
• ColdFusion 2021は延長サポートが2026年11月10日に終わり、最後のセキュリティ修正は2025年12月のUpdate 23。2025への移行が前提

CVE-2024-53961の概要とファイル読み取りの影響・公表時の評価

CVE-2024-53961は、アプリケーションが制限したディレクトリの外にあるファイルへ到達できてしまう欠陥です。NVDのCVE-2024-53961の説明では、影響は任意のファイルシステム読み取りで、機微情報の漏えいやシステムデータの改変につながりうるとされています。

Adobeの勧告本文には「Adobe is aware that CVE-2024-53961 has a known proof-of-concept」と書かれています。悪用の確認ではなく、攻撃手順の実証が出回っているという意味です。国内ではIPAが2024年12月24日に注意喚起を出しています。パストラバーサルという攻撃手法の仕組みと実装側の防ぎ方は、ディレクトリトラバーサルとは？攻撃の仕組みと正規化後検証による実装対策を解説で扱っています。

影響を受ける条件：バージョン・pmtagentの有無・管理画面の公開

CVE-2024-53961は、バージョンが該当するだけでは悪用が成立しません。次の3つを順に確かめると、緊急度を正しく見積もれます。

ColdFusionの影響を受けるバージョンと修正版のビルド番号

ビルド番号は、各技術ノートの適用後確認欄の値です。ColdFusion 2025は2025年2月25日の一般提供開始で、APSB24-107より後に出た製品のため対象に入っていません。

インストール方法別のpmtagentパッケージの有無と影響の違い

ColdFusion 2023 Update 12の技術ノートは、この修正が直す脆弱性を「pmtagentパッケージがインストールされている場合」の任意ファイル読み取りと説明しています。pmtagentは、監視製品Performance Monitoring Toolset（PMT）とColdFusionをつなぐエージェントのパッケージです。技術ノートのFAQは、インストール方法ごとに影響を分けています。

見落としやすいのは1行目です。PMTで監視していないサーバーでも、GUIインストーラーで入れたならpmtagentは入っています。「PMTを使っていないから無関係」という判断は誤りです。

悪用の前提となる管理画面のインターネット公開と到達遮断の効果

Adobeは2025年3月17日にCVEの説明文を更新し、「Exploitation of this issue requires the admin panel be exposed to the internet」という一文を加えました。管理画面へのインターネットからの到達を遮断すれば、この悪用条件を取り除けます。

管理画面を公開したまま運用しているサーバーは、この脆弱性以外でも狙われています。CISAは2024年12月16日、APSB24-107の1週間前に、露出した管理画面から制限ファイルを読み書きできるCVE-2024-20767をKEVへ追加しました。管理画面の公開は、個別のCVEより先に閉じる穴です。

CVSSが7.4・9.8・8.1と変わった経緯と評価時期・情報源の違い

CVE-2024-53961のCVSSは、参照する時期と情報源によって3つの値が見つかります。NVDの変更履歴で経緯を追うと次のとおりです。

NISTは当初、攻撃の複雑さを「低（AC:L）」として9.8を付けました。Adobeが3月に可用性への影響を「高（A:H）」へ引き上げつつ攻撃の複雑さは「高（AC:H）」のまま8.1へ改め、NISTも4月にこれへ合わせています。2026年11月時点のNVDでは、AdobeとNISTのベクトルはどちらもCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:Hで一致しています。

注意したいのは、AdobeのAPSB24-107のページが今も当初の7.4のままである点です。脆弱性管理ツールや社内台帳に7.4か9.8が残っていると、優先度の判定がずれます。台帳はNVDの現行値8.1に揃えます。ただし、対応の緊急度はスコアより前章の2条件で決まります。ベクトルの各指標の読み方はCVSSv3とは？v3.1のスコアの目安・計算式と計算機の使い方を解説を参照してください。

自社サーバーの影響確認：更新レベル・pmtagent・管理画面の公開状況

確認は「版」「pmtagent」「管理画面の露出」の順に進めます。

管理画面とCFMLによるアップデートレベル・ビルド番号の確認

ColdFusion Administratorのシステム情報か、CFMLのserver.coldfusion.productversionでビルド番号を確認します。カンマ区切りの3つ目が更新レベルで、2023,0,12,330713ならUpdate 12です。CVE-2024-53961の修正は、2023なら2023,0,12,330713以降、2021なら2021.0.18.330341以降に入っています。

<cfoutput>#server.coldfusion.productversion#</cfoutput>

2026年11月時点の最新版のビルド番号は、2023 Update 26が2023,0,26,331018、2025 Update 14が2025,0,14,332029です。ここに届いていなければ、CVE-2024-53961が塞がっていても後続の脆弱性が残っています。

管理画面の一覧とcfpmによるpmtagentの導入状況の確認

管理画面では「Package Manager」→「Packages」の「Installed Packages」の一覧で確認できます。コマンドラインでは、cfusion/binにあるパッケージマネージャーcfpmを起動し、listで導入済みパッケージを表示します。

cd <cf_root>/cfusion/bin
./cfpm.sh
cfpm> list

Windowsではcfpm.batを使います。一覧にpmtagentが無ければ、CVE-2024-53961の影響はありません。

社外ネットワークからの管理画面の外部公開の確認

社外のネットワークから、公開ホスト名の管理画面のパスへ要求を送ります。次のコマンドはHTTPステータスだけを表示する簡易確認です。200でも管理画面以外の応答の場合があり、200以外でも非公開とは言い切れません。応答本文・リダイレクト先とアクセス制御設定を照合してください。

curl -s -o /dev/null -w "%{http_code}\n" https://www.example.com/CFIDE/administrator/index.cfm

フロントのWebサーバー（IISやApache）経由のパスだけでなく、ColdFusion内蔵Webサーバーのポートが外部に開いていないかも合わせて確認します。

修正版の適用手順と構成別の前提条件・pmtagentの扱い

ColdFusionの更新は累積型です。2023 Update 26の技術ノートにも「The updates below are cumulative」とあり、Update 12を経由せず最新版を直接当てれば、CVE-2024-53961の修正も含まれます。以下の手順は2023 Update 26の技術ノートに沿っています（2025はUpdate 14の技術ノート）。JEE構成（Tomcat・WebLogic・WildFlyへのデプロイ）では、適用前にアプリケーションサーバーの全インスタンスを停止します。

管理画面からの更新操作とColdFusionの再起動

ColdFusion Administratorの「Package Manager」→「Packages」で、「Core Server」の「Check for Updates」を押します。更新が検出されたら「Update」を押し、完了後にColdFusionを再起動します。導入済みのパッケージもまとめて更新されます。プロキシ配下のサーバーは、jvm.configにhttp.proxyHostなどのプロキシ設定を入れておかないと更新を検出できません。

PMTで監視している環境では、更新中もPMTサーバーを起動しておきます。Update 12の技術ノートは、PMTが止まっていて通信が失敗した場合は、PMTサーバーを起動してからColdFusionを再起動すれば復旧すると案内しています。

オフライン環境での手動適用とJavaのフラグ

インターネットに出られないサーバーでは、ホットフィックスのインストーラーとパッケージのzipを別途ダウンロードし、cfusion/lib/neo_updates.xmlのpackagesurlを展開先のbundles/bundlesdependency.jsonへ向けてから、ColdFusion同梱のJREでJARを実行します。Java 17.0.8以降で手動適用する場合は、次のフラグが要ります。管理画面から適用する場合は不要です。例は2023 Update 26のJARで、2025 Update 14ではhotfix-014-332029.jarになります。

"<cf_root>/jre/bin/java" -Djdk.util.zip.disableZip64ExtraFieldValidation=true -jar "<展開先>/bundles/updateinstallers/hotfix-026-331018.jar"

JEE構成のserialFilterの追記と適用後の確認

APSB24-107はJEE構成に対し、起動ファイルへJVMフラグ-Djdk.serialFilter=!org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**を設定するよう求めていました。2023 Update 26の技術ノートでは、この末尾に!com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;の2項目が加わっています。2024年12月の値のまま運用しているJEE構成は、最新の技術ノートの値へ書き換えます。スタンドアロン構成には設定しません。

KEVに載っているColdFusionのCVE16件のうち6件はデシリアライズ系で、serialFilterはその対策です。仕組みは安全でないデシリアライゼーションとは？RCEに至る仕組みと言語別の防御実装を解説で解説しています。

• ビルド番号が適用した版の技術ノートの値と一致すること（2023 Update 26なら2023,0,26,331018）
• 更新を戻す操作は「Server Update」→「Updates」→「Installed Updates」の「Uninstall」。戻す場合は、先に管理画面の外部公開を遮断する

すぐに更新できないときの削除・アクセス制限の暫定策

PMTを使っていないなら、pmtagentのアンインストールが最も確実な回避策です。Update 12の技術ノートのFAQは、pmtagentを外したGUIインストール環境を「影響なし」としています。cfpmではuninstall pmtagentで外せます。

PMTを使っていて外せない場合は、管理画面への外部からのアクセスをWebサーバーやファイアウォールで遮断し、社内ネットワークかVPN経由に限ります。どちらも更新までのつなぎで、恒久策は最新版の適用です。

2026年11月時点の更新先：Update 12は通過点

CVE-2024-53961だけを見てUpdate 12で止めると、その後に修正された脆弱性が残ります。Adobeは2025年12月から2026年10月までに、ColdFusionのセキュリティ情報を9件公開しています。

2023のUpdate 25（2026年9月23日）は、OEMライブラリの更新や不具合修正が中心の版で、セキュリティ情報は出ていません。NVDのAPIでColdFusionを含むCVEを2026年10月1日から11月4日の公開分で引くと、31件すべてが10月13日公開で、それより新しいものはありません。

APSB26-144で直った31件と最新版のビルド番号

APSB26-144は優先度2で、対象はColdFusion 2025の2025.0.13と2023の2023.0.25です。31件の内訳は深刻度CriticalとHighが10件と21件で、影響は任意コード実行が18件と最も多く、権限昇格が7件と続きます。Adobeは悪用を認識していないとしています。

31件には、CVE-2024-53961と同じCWE-22のCVE-2026-90530（任意コード実行・CVSS 9.3、攻撃元区分はローカル）や、XXEによる任意ファイル読み取りのCVE-2026-106616（8.6）も含まれます。最も高いのは、危険な種類のファイルを無制限にアップロードできるCVE-2026-105899と、SSRFのCVE-2026-106622で、どちらも10.0です。

pmtagentパッケージそのものも、Update 12で終わりではありません。技術ノートのパッケージ更新表では、2023のUpdate 12・23・25と、2025のUpdate 12でpmtagentが更新されています。PMTを使い続けるなら、本体と一緒にパッケージも最新版へそろえます。

CVE-2026-48282：同じパストラバーサルで実際に悪用された事例

APSB26-68で修正されたCVE-2026-48282も、分類はCVE-2024-53961と同じCWE-22です。ただし影響は任意コードの実行で、AdobeのCVSSは10.0。勧告には「exploited in the wild in limited attacks」と明記され、CISAは2026年7月7日にKEVへ追加し、対応期限を同月10日としました。2026年10月30日版のKEVで、2025年以降に追加されたColdFusionのCVEはこれとCVE-2017-3066の2件です。

2つを並べると、同じ種類の欠陥でも結果が大きく違います。CVE-2024-53961でAdobeが認めたのはPoCの存在で、影響は任意ファイルの読み取りです。CVE-2026-48282は実攻撃とコード実行に至りました。CVE-2024-53961の対応が済んでいても、2023 Update 21・2025 Update 10より前の環境は、より危険な穴を抱えたままです。

Update 12から最新版へ上げるときに変わる既定動作

2023 Update 26と2025 Update 14は、脆弱性の修正に合わせて既定の動作を締めています。CVE-2024-53961の対応でUpdate 12前後に止まっていたサーバーを一気に最新版へ上げると、アプリ側で通信や機能が止まる箇所が出ます。更新前に、以下に挙げる変更と、公式技術ノートに記載された利用機能の変更を検証環境で確認してください。

外向き通信のSSRF保護と許可リストの設定

最新版では、サーバーが発するHTTP・HTTPSの通信に共通の制限がかかります。既定では公開先への通信は許し、プライベートネットワーク・リンクローカルアドレス・クラウドのメタデータサービスへの通信を遮断します。対象として技術ノートが挙げるのはcfdocument、cfimage、cfschedule、cffeed、cfexchange、GraphQLクライアント、SOAP・WSDLの呼び出しなどです。社内のAPIや画像サーバーを呼んでいるアプリは、Application.cfcで許可リストを指定します。

component {
    this.name = "myapp";
    this.security.outboundNetwork = {
        allowList: ["https://api.internal.example.com"]
    };
}

サーバー全体で設定する場合はcfusion/lib/security-settings.jsonのoutboundNetworkに書きます。技術ノートによれば、認識できないキーが1つでもあると設定全体が既定値に戻ります。保護を切るJVMフラグ-Dcoldfusion.security.ssrf.disableProtection=trueもありますが、Adobeは推奨していません。既知の問題として、cfdocumentが描画するHTML内の画像やCSSなどのサブリソースには、この制限がまだかかりません。

ネイティブCFXの既定ブロックとWebSocketの認証必須化

• C++で書いたネイティブCFXタグは、許可したパス以外から読み込めなくなった。既定は許可パスなしで、すべて遮断される。使っている場合はcf_root/lib/pathfilter.jsonのcppcfxlibrarypathsに絶対パスかglobで追加する（Java CFXは対象外）
• WebSocket経由でのコンポーネント呼び出しに認証が必要になった（-Dcoldfusion.websocket.requireAuthForInvokeの既定がtrue）。アプリ単位ではApplication.cfcのthis.wsRequireAuthForInvokeで制御する
• 2025 Update 14では、MCPのコマンド許可リストをApplication.cfcとcfusion/lib/security-settings.jsonのmcp.commandWhitelistから組み立てるようになり、トランスポート設定側のcommandWhitelistは無視される

どれも攻撃面を減らす方向の変更なので、遮断を解除して元に戻すのではなく、必要な宛先やライブラリだけを許可リストに足すのが筋です。

ColdFusion 2021の延長サポート終了と2025への移行判断

AdobeのEOLマトリクスでは、ColdFusion 2021のコアサポートは2025年11月10日に終わり、延長サポートも2026年11月10日に終わります。2021の最後のセキュリティ修正はAPSB25-105（2025年12月9日・Update 23）で、2026年のAPSB26-12からAPSB26-144までの対象は2025と2023だけです。

2021でUpdate 18を当ててCVE-2024-53961を塞いでも、2026年の勧告で直った脆弱性に該当するかどうかは公式に示されていません。修正版が出ない以上、2021に留まる判断は採るべきではありません。移行先は、コアサポートが2030年2月まであるColdFusion 2025が第一候補です。2023を選ぶ場合、コアサポート終了の2028年5月16日を目安に次の移行を計画します。延長サポートの終了日は2029年5月16日です。移行までの間に管理画面の公開状況やパッケージ構成を第三者の目で洗い出したい場合は、脆弱性診断・セキュリティ診断で公開面を確認できます。

よくある質問

CVE-2024-53961は実際に悪用されていますか？

Adobeが公表時に認めたのはPoCの存在で、悪用の確認ではありません。CISAのKEVにも2026年10月30日版の時点で掲載されていません。ただしPoCが公開済みのため、管理画面を外部に公開したまま未修正の環境は狙われる前提で扱うべきです。

PMTを使っていなくても更新は必要ですか？

pmtagentパッケージが入っていれば必要です。GUIインストーラーとAMIでは既定で入るため、PMTで監視していないサーバーも対象になります。pmtagentをアンインストール済み、またはzipインストールで導入していない場合は影響を受けません。

CVSSは7.4と8.1のどちらを使えばよいですか？

NVDの現行値である8.1を使います。7.4は公表時のAdobeの評価で、2025年3月にAdobe自身が8.1へ改めています。APSB24-107のページには7.4が残っているため、参照元によって値が食い違います。

ColdFusion 2023 Update 24や25を当てていれば十分ですか？

十分ではありません。Update 24はAPSB26-119（2026年9月）の修正版で、Update 25はセキュリティ情報を伴わない版です。2026年10月13日のAPSB26-144で直った31件は、Update 26でしか塞がりません。

ColdFusionから別のCFMLエンジンへ移る選択肢はありますか？

オープンソースのLuceeや、JVM上の新言語BoxLangが移行先として挙がります。BoxLangは互換モジュールでCFMLコードを実行できます。どちらもAdobeのサポートやPMTは使えなくなるため、既存のタグやパッケージ機能がどこまで動くかを検証環境で確かめてから判断します。

関連記事

• ディレクトリトラバーサルとは？攻撃の仕組みと正規化後検証による実装対策を解説
• CVSSv3とは？v3.1のスコアの目安・計算式と計算機の使い方を解説
• 安全でないデシリアライゼーションとは？RCEに至る仕組みと言語別の防御実装を解説
• CTEMとは？脆弱性管理との違い・5つの段階と企業の導入判断を解説