結論：Adobe製品を使っている端末は、11製品すべてのアップデート状況を確認してください
2026年4月、Adobe は 12件のセキュリティアドバイザリ を公開し、11製品にわたる計56件の脆弱性 を修正しました。このうち 38件が「Critical」（最も深刻） に分類されています。IPA（独立行政法人 情報処理推進機構）およびセキュリティ調査機関 Qualys も、今回の更新について注意喚起を行っています。
「Acrobat Readerだけ更新すればいい」と思っていませんか。今回はPhotoshop、InDesign、After Effectsなど クリエイティブ系ツールにも深刻な脆弱性 が見つかっています。デザイン部門や動画制作の担当者が使っている端末も対象です。
今回のアップデートの全体像
| 項目 | 内容 |
|---|---|
| 公開日 | 2026年4月（定例セキュリティ更新） |
| アドバイザリ数 | 12件 |
| 対象製品 | 11製品 |
| 脆弱性の総数 | 56件 |
| うちCritical | 38件 |
| 主な脅威 | 任意コード実行（RCE）、メモリリーク、セキュリティバイパス |
| 情報源 | Adobe Security Bulletins、Qualys、IPA |
56件中38件が「Critical」——これは多いのか？
率直に言って、非常に多い です。Adobeの月例セキュリティ更新は通常10〜30件程度の修正が含まれますが、Critical が38件というのは突出した数字です。これは「パッチを当てないまま放置すること自体がリスク」であることを意味しています。
対象11製品と脆弱性の内訳
管理部門の方は、以下の表を使って 「うちの会社でどの製品を使っているか」 を確認してください。
| 製品名 | 主な利用部門 | 脆弱性の数 | Critical件数 | 主な脅威 |
|---|---|---|---|---|
| Acrobat / Reader | 全部門 | 多数 | 複数 | 任意コード実行（PDF経由） |
| ColdFusion | IT部門・開発部門 | 多数 | 複数 | 任意コード実行・セキュリティバイパス |
| Photoshop | デザイン部門 | 複数 | あり | 任意コード実行 |
| InDesign | デザイン・広報 | 複数 | あり | 任意コード実行・メモリリーク |
| After Effects | 動画制作 | 複数 | あり | 任意コード実行 |
| Media Encoder | 動画制作 | 複数 | あり | 任意コード実行 |
| Bridge | デザイン部門 | 複数 | あり | 任意コード実行 |
| Animate | Web制作・デザイン | 複数 | あり | 任意コード実行 |
| XMP Toolkit | 開発部門 | 複数 | あり | 任意コード実行 |
| Substance 3D Modeler | 3Dデザイン | 複数 | あり | 任意コード実行 |
| Substance 3D Painter | 3Dデザイン | 複数 | あり | 任意コード実行 |
見落としやすいポイント
- Acrobat / Reader は全社員に影響します。無料のAcrobat Reader DCも対象です
- ColdFusion はWebサーバーで稼働している場合があり、IT部門に確認が必要です
- Photoshop / InDesign / After Effects はデザイン・広報部門が個別にインストールしていることがあり、IT管理の対象外になりがちです
- Substance 3D 系 は3D制作の一部部門だけが使用しており、存在自体が把握されていない場合があります
「社内にどのAdobe製品がインストールされているか、把握できていますか？」
11製品56件の脆弱性対応は、まず「何が入っているか」の棚卸しから。IT資産管理の仕組みづくりから支援しています。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
管理部門向け：一括対応チェックリスト
IT部門がない中小企業でも実行できる手順をまとめました。
チェック1：Adobe製品の棚卸し（所要時間：30分〜1時間）
まず、社内でどのAdobe製品が使われているかを把握します。
- [ ] Adobe Creative Cloud の管理コンソール にログインし、ライセンスが割り当てられているユーザーと製品を一覧化する
- [ ] Creative Cloud を契約していない場合は、各端末の 「コントロールパネル」→「プログラムと機能」 でAdobe製品をリストアップする
- [ ] ColdFusion がWebサーバーにインストールされていないか、IT担当者（または外部委託先）に確認する
チェック2：各製品のアップデート実行（所要時間：1製品あたり約5分）
Adobe Creative Cloud アプリケーションの更新手順は共通です。
- Creative Cloud デスクトップアプリ を開く
- 左側メニューの 「アップデート」 をクリック
- 利用可能なアップデートが表示されたら 「すべてアップデート」 をクリック
- アップデート完了後、各アプリケーションを再起動する
Acrobat Reader（無料版）の場合：
- Acrobat Reader を起動する
- 「ヘルプ」→「アップデートの確認」 をクリック
- 「ダウンロードしてインストール」を実行し、再起動する
チェック3：全社への周知（所要時間：15分）
以下の文面をメールまたはチャットで全社に送信してください。
件名：【対応必須】Adobe製品のセキュリティ更新をお願いします
Adobe製品に深刻なセキュリティ上の問題が発見されました。悪意あるファイルを開くだけで攻撃を受ける可能性があります。
対象：Acrobat Reader、Photoshop、InDesign、After Effects、その他Adobe製品すべて
手順：Creative Cloudデスクトップアプリを開き、「アップデート」→「すべてアップデート」を実行してください。完了後、各アプリを再起動してください。
期限：本日中にお願いします。
チェック4：更新状況の確認（翌営業日）
- [ ] Creative Cloud 管理コンソールで、各ユーザーのアプリバージョンが最新であることを確認
- [ ] 管理コンソールがない場合は、各部門リーダーに「更新完了報告」を依頼
なぜ「Acrobat Readerだけ」では不十分なのか
セキュリティパッチのニュースでは Acrobat Reader が注目されがちです。しかし今回の更新では、Photoshop や InDesign などクリエイティブ系ツールにもCritical脆弱性 が含まれています。
これらのツールでは、細工された画像ファイルやプロジェクトファイルを開くだけで任意のコードが実行される 危険があります。たとえば、外部の制作会社から受け取ったPSDファイルやAIファイルを開く場面は日常的にあるはずです。
「うちはデザイン会社じゃないから関係ない」と思われるかもしれませんが、広報担当者が1台だけPhotoshopをインストールしているというケースは珍しくありません。その1台が攻撃の入り口になる可能性があります。
ColdFusion を使っている場合は特に注意
ColdFusion はWebアプリケーションサーバーとして利用される製品です。社内でWebシステムを運用している場合、サーバー側で ColdFusion が稼働している可能性 があります。
ColdFusion の脆弱性はサーバーへの直接攻撃に悪用されるリスクがあるため、デスクトップアプリとは別に、サーバー管理者（または外部の運用委託先）に確認を依頼 してください。
まとめ
| 項目 | ポイント |
|---|---|
| 脆弱性の総数 | 56件（うちCritical 38件） |
| 対象製品 | 11製品（Acrobat/Reader、ColdFusion、Photoshop、InDesign、After Effects 他） |
| 対応の優先度 | Critical 38件を含むため、即時対応を推奨 |
| やるべきこと | 棚卸し → アップデート → 全社周知 → 確認 の4ステップ |
| 見落とし注意 | デザイン部門のPhotoshop/InDesign、サーバーのColdFusion |
よくある質問（FAQ）
Q1. Creative Cloud の自動更新を有効にしていれば、すでに対応済みですか？
自動更新が正常に動作していれば対応済みの可能性がありますが、企業ネットワークではプロキシやファイアウォールの設定で自動更新がブロックされているケースがあります。 Creative Cloud デスクトップアプリの「アップデート」画面で、各アプリのバージョンが最新であることを直接確認してください。
Q2. 11製品すべてをインストールしている端末はほとんどないと思いますが、それでも全製品を確認する必要がありますか？
全製品をインストールしている端末は確かに少ないですが、「どの端末にどの製品が入っているか」を把握していないこと自体がリスク です。今回を機に、Adobe製品のインストール状況を棚卸しすることを推奨します。特にPhotoshopやInDesignは、IT部門が把握していない端末に個別インストールされていることがあります。
Q3. 無料のAcrobat Reader DCだけを使っている場合も影響がありますか？
はい、影響があります。Acrobat Reader DC（無料版）も今回の脆弱性の対象です。「ヘルプ」→「アップデートの確認」で最新版に更新してください。
Q4. Adobe製品を使っていない端末にも影響はありますか？
Adobe製品がインストールされていない端末には影響はありません。ただし、過去にインストールして現在は使っていない場合、プログラムが残っていれば脆弱性の影響を受けます。「コントロールパネル」→「プログラムと機能」で確認してください。
参考資料
- Adobe Security Bulletins（2026年4月）
- Qualys「Adobe April 2026 Security Updates: 56 Vulnerabilities Across 11 Products, 38 Critical」（2026年4月）
- IPA「Adobe Acrobat および Reader の脆弱性対策について」（2026年4月）
- JPCERT/CC「Adobe 製品の脆弱性に関する注意喚起」（2026年4月）
関連記事
- 【緊急】Adobe Acrobat Readerに重大な脆弱性（CVE-2026-34621）
- Adobe Acrobat 4月緊急パッチ｜IPA注意喚起のゼロデイに即時対応を
- インシデント対応チーム（CSIRT）構築ガイド
- 中小企業のセキュリティ費用 優先順位ガイド
「パッチは当てたけど、IT資産の把握ができていない」という方へ
脆弱性が見つかるたびに慌てるのではなく、「何がどこに入っているか」を常に把握できる仕組みを作りませんか。IT資産管理からパッチ運用の設計まで支援しています。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK