アドビは10月13日、コンテンツの来歴情報（Content Credentials）を扱う開発キット「Content Credentials SDK」の脆弱性30件を修正するセキュリティアップデート（APSB26-163）を公開した。最も深刻なものはサーバーサイドリクエストフォージェリ（SSRF）の脆弱性で、CVSS基本値は8.6。JVNもこのうち、入力確認の不備（CVE-2026-100113）とアクセス制御の不備（CVE-2026-100114）を、それぞれCVSS 7.5の「重要」として公表している。
脆弱性の詳細
Content Credentials SDKは、画像などのコンテンツに「誰が、どのように作成・編集したか」を示す来歴情報を埋め込んだり、検証したりするための開発キットで、業界標準「C2PA」に準拠している。生成AIによる画像の判別や、改ざんの検知に使われる。
アドビによると、今回修正された30件の内訳は次の通り。
- セキュリティ機能の回避につながるもの：23件。入力確認の不備、証明書の検証不備、暗号署名の検証不備、アクセス制御の不備、SSRFなど
- サービス運用妨害（DoS）につながるもの：6件。リソースの過剰消費、整数オーバーフロー
- 任意のファイル書き込みにつながるもの：1件。パストラバーサル
深刻度はアドビの評価で「High」が20件、「Medium」が10件。CVSS基本値は最大8.6で、多くが7.5となっている。証明書や署名の検証が回避されると、来歴情報が偽装されたコンテンツを「正しく検証された」ものとして扱ってしまうおそれがある。アドビは本アップデートの優先度を3段階で最も低い「3」としている。
影響を受ける製品・バージョン
| 製品 | 影響を受けるバージョン | 修正版 |
|---|---|---|
| Content Credentials Rust SDK（c2pa） | c2pa-v0.90.15以前 | c2pa-v0.91.1 |
| C2PA Tool（c2patool） | c2patool-v0.27.15以前 | c2patool-v0.28.1 |
| Content Credentials JS SDK（@contentauth/c2pa-web） | 0.13.4以前 | 0.15.3 |
いずれもすべてのプラットフォームが対象。アドビのPhotoshopなどの一般向けアプリではなく、来歴情報を扱うシステムを開発・運用する事業者向けのライブラリやツールである。
推奨される対策
- 修正版へ更新する：自社のサービスやワークフローで上記のSDK・ツールを使っている場合は、修正版に更新する。依存パッケージとして間接的に組み込まれていないかも、依存関係の一覧（lockファイルなど）で確認する。
- 検証結果だけに頼らない：更新までの間、来歴情報の検証結果を、コンテンツの真正性を判断する唯一の根拠にしない。
- 外部からのファイル処理を制限する：利用者がアップロードしたファイルを自動で解析する仕組みでは、ファイルサイズや処理時間に上限を設け、DoSにつながる処理の影響を抑える。
同SDKでは2026年9月にも脆弱性が公表されている（入力確認の脆弱性、整数アンダーフローの脆弱性）。
CSRIからの現場アドバイス
【現場で何が起きているか】生成AIの普及に伴い、画像や動画の真正性を確認する仕組みとして、C2PAに対応したライブラリを自社サービスに組み込む例が増えています。一方で、こうしたライブラリはOSSの依存関係として取り込まれることが多く、CSRIの診断でも「どのバージョンが入っているか誰も把握していない」ケースが見られます。
【平易な解説】Content Credentialsは、写真に付ける「履歴書」のようなものです。今回の脆弱性の多くは、その履歴書が本物かどうかを確かめる手順に抜け穴があったというもので、悪用されると偽の履歴書を本物として扱ってしまうおそれがあります。
【今週中にできること】自社で開発しているサービスの依存関係に、c2pa、c2patool、@contentauth/c2pa-webが含まれていないかを確認してください。含まれていれば修正版に更新し、ソフトウェア部品表（SBOM）や依存関係の自動更新ツールで、同種の更新を見逃さない仕組みを整えておくと効果的です。
参照: Adobe Security Bulletin APSB26-163 ／ JVNDB-2026-038501（CVE-2026-100114） ／ JVNDB-2026-038502（CVE-2026-100113）