Adobe Experience Manager (AEM) Forms の脆弱性（CVE-2025-54253）

何が起きた

Web のフォームなどを扱う Adobe Experience Manager Forms（JEE 版）に、設定の不備（Misconfiguration）による弱点が見つかりました。NVD の説明では、攻撃者が守りの仕組みをすり抜けて、任意の（攻撃者が好きに選べる）プログラムを実行できるおそれがあります。NVD の評価では、離れた場所からネットワーク経由で、権限なしで、利用者の操作なしに悪用できます。CISA は実際の悪用を確認し、KEV に掲載しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe の勧告 APSB25-82 では、Adobe Experience Manager（AEM）Forms on JEE の 6.5.23.0 以前が影響を受けます。

何をすればいい

Adobe の勧告 APSB25-82 に従って、AEM Forms on JEE を修正版の 6.5.0-0108 以降に更新してください。勧告の公開時点で攻撃コードが公開されており、その後 CISA が実際の悪用を確認しているため、早めの更新が大切です。

やることチェックリスト

• AEM Forms on JEEを使っているか確かめる
• 版が6.5.23.0以前か確かめる
• 修正版の6.5.0-0108以降に更新する

用語メモ

JEE

Java で業務用のシステムを作るための仕組みのことで、Adobe Experience Manager Forms にはこの形で動く版があります。

Misconfiguration

設定の誤りや不備のことです。本来の守りが働かない状態になっていることを指します。