Adobeが9月に修正した脆弱性は172件。ただし最上位の優先度が付いたのは11件だけで、実際に悪用が確認されたのは前日に出た1件でした。主役のAcrobatの32件は、そのあいだにあります。数の大きさと急ぎ具合が一致しない月の、読み方を整理します。
Adobeは2026年9月7日の臨時速報1本と、翌8日の定例速報9本で、計172件の脆弱性を修正した。AcrobatおよびAcrobat Readerを対象とするAPSB26-141は32件で、21件がCritical、18件が任意コード実行につながる。修正版はContinuousトラックが26.002.21901、Classic 2024トラックが24.001.30429である。優先度は2で、Adobeは実環境での悪用を確認していないとしている。
件数が最も多いのはExperience Managerの107件。9月7日のAPSB26-146では、Adobe CommerceのCVE-2026-75650（CVSS 10.0）について悪用が確認されている。
172件は、どこに集中しているか
172件。この数字を見て、自分の会社で何を今日やるべきかが決まる人は、おそらくいません。数を数えることと、危険を測ることは別の作業だからです。9月7日の臨時速報が1本、翌8日の定例速報が9本。この10本を並べ直すと、その差がはっきり見えてきます。
まず、172件のうち107件はExperience Managerの1本に入っています。Acrobatの32件を足すと139件、全体の80.8%が2本で占められる計算です。残る8本は合計33件しかありません。「Adobeが172件を修正」という見出しは、実際には2つの製品の話をしているということになります。
急いだのは9月8日ではなく、前日だった
次に優先度で切り直すと、風景が変わります。Adobeが最上位のPriority 1を付けたのは、Adobe Commerce（APSB26-146）、Campaign Classic（APSB26-142）、ColdFusion（APSB26-119）の3本だけ。CVEの数にすると11件で、172件のうち6.4%です。Adobeは、Priority 1をできるだけ早く、目安として72時間以内に、Priority 2を速やかに、目安として30日以内に、Priority 3は管理者の判断で適用するよう案内しています。数の多い上位2本は、いずれもPriority 2でした。
そして、この月に本当に急いだ人がいるとすれば、それは9月8日ではなく9月7日でした。定例を待たずに公開されたAPSB26-146は、Adobe CommerceとMagento Open Sourceに影響するCVE-2026-75650を扱っています。CWE-1336、テンプレートエンジンへの注入で、CVSSは満点の10.0。認証も利用者の操作も不要で、172件の中でAdobeが「実環境で悪用されている」と明記した唯一の1件です。
この1件は、私たちが9月7日に取り上げたMagentoのゼロデイ「StyleSmuggler」の続きにあたります。当時は修正が定例に入るかどうか未確定でしたが、Adobeは定例を待たず、前日に単独で出しました。しかも提供形態はバージョン更新ではなくホットフィックスで、Adobe Experience Leagueの案内には、修正の適用に加えて暗号鍵と関連する資格情報の再発行も強く推奨する旨が記されています。すでに侵入された前提で動く、という設計になっているわけです。
Acrobatの32件は、どこから入ってくるか
では、主役に据えたAcrobatはどこに位置するのか。悪用は確認されておらず、優先度は2。緊急ではありません。ただし件数では2番目に大きく、成立の条件にも共通点があります。CVSSベクタを見ると、32件すべてがAV:L。これはネットワーク越しに製品を直接叩く区分ではなく、端末上での操作や、利用者に文書を開かせる形を含みます。利用者の操作が要件になっているのは31件で、任意コード実行に至る18件はすべてPR:N/UI:R、事前の権限は要りません。残る1件はCVSSが最も高いCVE-2026-81996で、これだけがUI:N、つまり利用者の操作を必要としない代わりに、あらかじめ何らかの権限が要ります。なおAdobeの速報は、具体的なファイル形式や悪用の手順までは示していません。
内訳を見ると、UAF（解放後使用）が11件で最も多く、境界外書き込みと境界外読み取りが各5件。ヒープオーバーフロー2件、二重解放、型混同、整数オーバーフロー、整数アンダーフローが各1件。メモリ安全性の問題が32件中27件を占めています。PDFという30年を超える歴史を持つファイル形式を、ネイティブコードの解析器が読み続けている構造が、そのまま数字に出ています。
「Critical 21件」をそのまま読むと外れる
ここで、数字の読み方に一つ注意が要ります。AdobeがCriticalと分類したCVE-2026-80159のCVSSは、実は4.0です。Importantに分類された11件（5.5〜6.3）より低い。CVSSとAdobe独自の深刻度が、別の物差しだからです。Adobeの定義では、Criticalは利用者が気づかないうちにネイティブコードが実行されうるものを指します。ただしこの1件の影響欄は権限昇格であり、なぜCriticalに置かれたのかまでは、公開資料からは読み取れません。いずれにせよ、「Critical 21件」という数字を、そのまま危険度の順位として読むと、実態から離れます。
同じことは最多のAEMにも言えます。107件のうち105件はCVSS 5.4で横並びのXSS（保存型とDOM型）です。1件だけCVSS 9.9の不正な認可があり、残る1件がModerateの3.5。数の迫力と、対処の性質は一致していません。
誰が見つけたのか
もう一つ、この月の速報には別の読み方があります。誰が見つけたのか、という視点です。AEMの107件のうち98件、率にして91.6%は、ジム・グリーンという1人の研究者の報告に紐づいています。Acrobatでは、ZDI経由の匿名の研究者1人が32件中10件（31.2%）。ZDI経由をすべて数えると19件で、Acrobat全体の59.4%にあたります。ZDI自身は、今回の172件のうち22件が同プログラム経由だったと公表しています。
つまり、同種の欠陥を体系的に掘り切るという形が、性質のまったく違う2つの製品で同時に起きています。ただしAdobeも研究者も、今回の発見にAIや自動化を使ったとは明らかにしていません。一方で、Adobeが自社で何をしているかは公表されています。2026年6月25日、同社はフロンティアAIとエージェント型の解析ツールが大規模なコードベースの欠陥を従来より速く見つけるようになったとし、自社でも同じ手法を継続的に適用していると説明しました。セキュリティ速報を月1回から月2回、毎月第2・第4火曜日の配信へ切り替えたのは2026年7月14日からで、その理由も「見つかる数が増えれば、届ける回数も増やす必要がある」という点にあります。今回の速報のいくつかには、社内で見つかった同じ深刻度・同じCWEの脆弱性に単一のCVE番号をまとめて割り当てる場合がある、という注記も添えられています。
自分の環境を、どこで確かめるか
見落とされやすい常連にも触れておきます。Campaign Classicの今回の1件、CVE-2026-82004はOSコマンドインジェクションで、CVSSは10.0、優先度1。ただし対象は完全なオンプレミス構成と、ハイブリッド構成のオンプレミス側だけで、Adobeがホストしているインスタンスはすでに対処済みと明記されています。この製品は6月以降、CVSS 10.0を含む速報が複数回出ており、自社がどちらの構成かを把握しているかどうかで、読むべき速報が変わってきます。
自分の環境を確かめるとき、Acrobatで見る場所は2つです。Continuousトラックなら26.002.21901以上か。Classic 2024トラックなら24.001.30429以上か。更新の手順は、Windowsが「メニュー」→「ヘルプ」→「アップデートの有無をチェック」、macOSが「ヘルプ」→「アップデートの有無をチェック」です。なお、長く使われてきたAcrobat 2020は2025年11月30日にサポートが終了しており、今回の速報の対象には含まれていません。32件の修正が届かない環境が現場に残っている可能性は、更新の確認と同じくらい優先して見ておきたいところです。
172という数字は、来月以降も、これまで以上に大きく並ぶ可能性があります。AIが脆弱性を見つける速度が上がれば、修正の本数も、その公表の頻度も増えます。そのとき読者に必要になるのは、数を追う力ではなく、10本の速報から自分に関係する1本を抜き出す読み方のほうです。今月でいえば、それはAcrobatの32件と、前日に出た1件でした。なお現在の配信体制では毎月第2・第4火曜日に速報が出るため、9月分はこれで終わりではありません。
【関連記事】
Magentoゼロデイ「StyleSmuggler」｜パッチを当てていた店が最初の被害者に
本記事で触れたCVE-2026-75650の前編にあたる記事。修正が定例に含まれるかどうかが、まだ未確定だった段階の状況を記録している。
Adobe、ColdFusionなど計12件の脆弱性を修正—CVSS 10.0が7件と「月2回配信」への転換
Adobeが速報の配信を月1回から月2回へ増やした経緯を、2026年6月末のColdFusionなどの修正とあわせて伝えた記事。
Adobe Reader に未修正のゼロデイ攻撃—PDFを開いた瞬間、端末は標的にされる
同じAcrobat Readerで、悪用が確認された状態のまま修正を待った2026年4月の事案。今回との対比で読むと違いが見えてくる。
【編集部後記】
Adobeは6月の告知で、脆弱性が公開されてから攻撃が始まるまでの時間が、日単位から時間単位へ縮んでいると書いていました。その同じ会社が、今回のAcrobatの32件には30日以内という目安を置いています。悪用が確認されたものと、されていないものを分けているだけで、筋は通っています。
ただ、その線引きが妥当だったかどうかは、あとにならないと分かりません。今月のうちに当てるか、次の速報を待つか。決めるのは読む側です。
【用語解説】
CVE
脆弱性1件ごとに割り当てられる国際的な識別番号。「CVE-西暦-連番」の形式をとる。同じ深刻度・同じ分類の欠陥をまとめて1つの番号で扱う場合もある。
CVSS
脆弱性の深刻度を0から10の数値で表す共通指標。攻撃元、必要な権限、利用者の操作の要否といった条件を組み合わせて算出される。点数が製品ベンダー独自の分類と一致するとは限らない。
CVSSベクタ（AV:L／PR:N／UI:R）
CVSSの点数を構成する条件の記号列。AV:Lは攻撃元がローカルであること、PR:Nは事前の権限が不要であること、UI:Rは利用者の操作が必要であることを示す。UI:Nは利用者の操作を必要としない。
CWE
脆弱性の「種類」を分類する体系。CWE-1336はテンプレートエンジンへの注入、CWE-78はOSコマンドインジェクションを指す。
Priority（優先度）
Adobeが管理者向けに示す、更新を適用する順序の指標。1から3の3段階で、過去の攻撃傾向、脆弱性の種類、対象プラットフォーム、緩和策の有無をもとに決まる。
Severity（深刻度）
Adobeが脆弱性の影響の大きさを示す指標。Critical、Important、Moderateの3段階で、CVSSの点数から機械的に導かれるものではない。
解放後使用（UAF）
解放済みのメモリ領域を、まだ有効であるかのように参照してしまう不具合。CWE-416にあたる。攻撃者が解放後の領域を差し替えることで、意図しないコードの実行につながる場合がある。
メモリ安全性
プログラムがメモリ領域を正しく確保・参照・解放できているかという性質。境界外の読み書き、二重解放、整数の桁あふれは、いずれもこの性質が破れた状態を指す。
XSS（クロスサイトスクリプティング）
Webアプリケーションに第三者のスクリプトを混入させ、閲覧者のブラウザー上で実行させる不具合。入力内容が保存される保存型と、ブラウザー側の処理で発生するDOM型がある。
ホットフィックス
製品全体のバージョンを上げずに、特定の不具合だけを修正するために配布される差分。緊急時に、通常の更新サイクルを待たずに提供される。
Continuousトラック／Classicトラック
Adobe Acrobatの提供形態の区分。Continuousは機能追加と修正が継続的に配信される形態、Classicは特定年次の版として提供され、期間を定めて修正が配信される形態を指す。
StyleSmuggler
Adobe CommerceとMagento Open Sourceを狙った攻撃に、セキュリティ企業のSansecが付けた呼称。テンプレート内のstyles関連の記述を経由して、検知を避けながらコードを混入させる手口とされる。
【参考リンク】
Adobe｜APSB26-141（Acrobat／Acrobat Reader）（外部）
本記事が扱ったAcrobatおよびAcrobat Readerの速報。32件の一覧、影響を受けるバージョン、修正版、謝辞を掲載している。
Adobe Product Security Incident Response Team（PSIRT）（外部）
Adobe製品のセキュリティ速報を一覧できる公式ページ。各速報の公開日と最終更新日が併記され、今回の10本の日付関係もここで確認できる。
Adobe｜Priority and Severity Ratings（外部）
優先度と深刻度の定義を示した公式ページ。優先度1は72時間以内、2は30日以内という目安が、あくまで例示として書かれている点を確認できる。
Adobe｜APSB26-146（Adobe Commerce）（外部）
9月7日に公開された臨時の速報。CVE-2026-75650について、Adobeが実環境での悪用を認識している旨とホットフィックスを記す。
Adobe｜APSB26-142（Campaign Classic）（外部）
CVSS 10.0のCVE-2026-82004を扱う速報。対象が完全なオンプレミス構成と、ハイブリッド構成のオンプレミス側に限られる。
Adobe｜APSB26-98（Experience Manager）（外部）
107件を扱う今回最大の速報。脆弱性の一覧と謝辞が並んでおり、報告者ごとに何件が紐づいているかを、読者自身が数え直せる形になっている。
Adobe Security Blog｜AIによる発見加速への対応（外部）
2026年6月25日公開。速報の配信を月2回へ移す判断と、その背景にある脆弱性発見の加速について、Adobe自身が説明している一次情報。
Adobe｜Adobe Acrobat を手動で更新する（外部）
WindowsとmacOSそれぞれの更新手順を示した日本語ヘルプ。本記事で案内したメニューの名称も、このページの表記に合わせている。
Adobe｜Acrobat 2020 と Acrobat Reader 2020 のサポート終了（外部）
Acrobat 2020のサポート終了日と、終了後に提供されなくなるものの範囲を示した公式ページ。派生版や小規模な更新も対象に含まれる。
Adobe Experience League｜APSB26-138 の適用手順（外部）
Adobe Commerceの適用順序と、暗号鍵および関連する資格情報の再発行に関する案内。速報本文にはない運用上の前提が載っている。
Trend Micro｜Zero Day Initiative（外部）
研究者から脆弱性を買い取り、ベンダーとの調整開示を行うプログラムの公式サイト。今回のAcrobatの速報でも、謝辞の過半がこの経由である。
【参考記事】
The September 2026 Security Update Review（外部）
ZDIによる月次レビュー。Adobeの10本を速報ID・件数・最高CVSS・悪用の有無・優先度の表にまとめ、22件が同経由だったと記す。
September Patchday: Adobe closes critical zero-day vulnerability and 172 others（外部）
ドイツのheise onlineによる報道。月2回体制でなお172件が並んだ点を指摘し、CVSS 10.0が2製品に及んだ経緯を整理する。
Microsoft breaks Patch Tuesday record with 974-CVE deluge（外部）
The Registerによる報道。StyleSmugglerの攻撃が9月4日に始まったというSansecの報告と、影響の及ぶ範囲を伝える。
Microsoft and Adobe Patch Tuesday, September 2026 Security Update Review（外部）
Qualysによる集計。同社はAdobe分を9本170件として数えており、臨時速報を含めるかどうかで総数の表記が変わることが読み取れる
