対象：Adobe Commerce（旧Magento Commerce）やMagento Open SourceでECサイトを運営している事業者、その開発・保守を請け負う会社、ホスティング事業者。本記事はAdobe、米CISA、NVDの公開情報と、あるECセキュリティ企業の調査報告にもとづく解説で、攻撃の手順や攻撃コードは扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月28日（日本時間）時点まだ分かっていないこと
- Adobeによる悪用の確認（セキュリティ情報は「把握していない」のまま）
- 日本の公的機関の注意喚起（JPCERT/CC・IPAは未公表）
- 国内の店舗の被害（公表は見当たらない）
米CISAは10月27日にKEVへ加えました。Adobeの修正は7月14日に出ています。悪用の具体的な状況は、あるECセキュリティ企業の報告によるもので、Adobeは確認していません。新しい発表があればこの記事を更新します。
今日やること
バージョンと修正の有無を確かめる
店のサーバーで bin/magento --version を実行し、バージョンを確かめます。7月の修正は、各系列の最新のセキュリティ版（たとえば2.4.7-p10）に追加で当てる個別の修正（isolated patch）として配られています。当たっているかは、Adobeがホストするクラウドの環境では Quality Patches Tool の vendor/bin/magento-patches -n status で、それ以外の環境では修正に同梱の Commerce Version Tool（CEの修正を当てたあとに使える）で確かめます（Adobeのリリースノート）。開発会社や保守会社に任せている場合は、この2点を問い合わせます。
修正を当てる
Adobeの手順では、まず自分の系列の最新のセキュリティ版（-p付きの版）に上げ（2.4.9はそのまま）、そのあと7月の修正を当てます。修正は累積しないので、順番どおりに当てます。Adobe Commerce Eventsのモジュールを使っている場合は1.21.0以上に上げます。Adobeがホストするクラウドの環境（Adobe Commerce on cloud infrastructure）では、Magento Cloud Patchesの最新版で直るとAdobeは説明しています。個別の修正を重ねて当てるとインストールに失敗することがあるので、Adobeの案内に従います。
アップロード用のフォルダーを調べる
あるECセキュリティ企業は、Webシェルが pub/media/custom_options/（とくにその下の quote）に置かれていたと報告し、pub/media/customer_address/ も調べるよう勧めています。画像の名前を装ったファイルや、.php・.phtml・.phar のような実行できるファイルがないかを確かめます。本来このフォルダーには、客が注文時に添付したファイルなどが入ります。
CMSブロック・CMSページと管理者アカウントを調べる
データベースの cms_block と cms_page に、入れた覚えのない <script> がないか、最近の更新日時（update_time）で変わったものがないかを確かめます。同じ企業の報告には、探すときの文字列が載っています。admin_user に知らないアカウントがないか、サーバーに見慣れないプロセスが動いていないかも確かめます。
跡があれば、片付けてから鍵を替える
不正なファイルとスクリプトを消したあと、管理者、データベース、APIの連携（Integration）のパスワードとトークンを変えます。スクリプトを消しただけでは、攻撃者の入り口（Webシェルや管理者アカウント）は残ります。決済画面に手が入っていた場合は、カード会社と決済代行会社に連絡します。
すぐ修正を当てられない場合の一時的な対策（攻撃は止まらない）
同じ企業は、Webサーバーの設定で pub/media/custom_options/ へのWebからのアクセスを禁止し、そこでPHPを動かさないよう勧めています。置かれたファイルを外から動かせなくする対策で、ファイルのアップロード自体は止まりません。アップロードの要求そのものを止めるには、WAF（Webアプリケーションの通信を検査する仕組み）の規則が必要だとしています。どちらも修正を当てるまでのつなぎです。
対象と修正版
| 製品 | 対象 | 修正（Adobeの表記） |
|---|---|---|
| Adobe Commerce | 2.4.9、2.4.8-p5以前、2.4.7-p10以前、2.4.6-p15以前、2.4.5-p17以前、2.4.4-p18以前 | 2.4.9・2.4.8・2.4.7・2.4.6・2.4.5・2.4.4 の各2026-jul |
| Adobe Commerce B2B | 1.5.3、1.5.2-p5以前、1.4.2-p10以前、1.3.4-p17以前、1.3.3-p18以前 | 1.5.3・1.5.2・1.4.2・1.3.4・1.3.3 の各2026-jul |
| Magento Open Source | 2.4.9、2.4.8-p5以前、2.4.7-p10以前、2.4.6-p15以前 | 2.4.9・2.4.8・2.4.7・2.4.6 の各2026-jul |
| Adobe Commerce Events | 1.6.0〜1.20.0 | 1.21.0 |
「2026-jul」は新しい版番号ではなく、各系列の最新のセキュリティ版に7月の個別の修正を当てた状態を指します。Adobeのリリースノートでは、修正のファイルは「2-4-7-p10-jul-2026.zip」のように、当てる先の版ごとに分かれています。Magento Open Sourceで修正を直接ダウンロードできるのは2.4.6以降です。
Adobeの表では、2.4.9も対象です。あるECセキュリティ企業は、この脆弱性の修正が2.4.9に入ったと書いていますが、セキュリティ情報には同じ日に直った14件がまとめて載っています。当サイトは、2.4.9でも7月の修正を当てるAdobeの表に従うことを勧めます。
ファイルを置ける脆弱性（入り口）
7月の修正（2026-jul）で直る
置かれたWebシェル
修正では消えない。アップロード用のフォルダーを調べる
ページに差し込まれたスクリプト
修正では消えない。cms_block・cms_pageを調べる
追加された管理者・漏れたおそれのある鍵
修正では消えない。admin_userを調べ、鍵を替える
何が公表されたのか
- CVE
- CVE-2026-48356（Adobeのセキュリティ情報 APSB26-73）
- 種類
- 危険な種類のファイルの無制限なアップロード（CWE-434）。Adobeは影響を「権限昇格」、深刻度を「緊急（Critical）」とし、攻撃に認証は不要としている
- 深刻度
- Adobeのセキュリティ情報の表ではCVSS v3.1で9.6（AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L）。AdobeがCVEに登録した値とNVDの評価は9.3（同じでA:Nのみ違う）
- 影響（CVEの説明）
- 現在の利用者の権限で任意のコードが実行され、被害者のアカウントやセッションを乗っ取られるおそれ。悪用には、被害者が細工されたURLを開くか、改ざんされたページを操作する必要があるとしている
- 修正
- 2026年7月14日公開（8月11日更新）。同じセキュリティ情報で14件の脆弱性を直しており、KEVに入ったのはこの1件だけ。Adobeの優先度は3段階の中間の「2」
- 悪用（Adobe）
- 悪用は把握していないとしている（10月28日時点の掲載）
- 悪用（米CISA）
- 2026年10月27日にKEVへ追加。米国の連邦政府機関（FCEB）の対応期限は11月10日。ランサムウェアへの使用は「不明」。NVDに付いたCISAの評価（SSVC）では、悪用は「active（実際に起きている）」
CVSSの2つの値は、可用性への影響（A）の評価が「低」か「なし」かの違いだけです。どちらも10点満点中9点台の「緊急」で、対応の優先度は変わりません。CVEの説明は「被害者の操作が必要（UI:R）」としていますが、後で紹介する企業の3月の解説では、ログインなしでファイルを置けるとしています。点数の細部より、KEVに入ったことを重く見ます（当サイトの判断）。
米CISAが同じ日にKEVへ加えたもう1件は、圧縮形式Brotliの脆弱性（CVE-2026-111497）です。日本の組織に米国の期限を守る義務はありませんが、CISAはすべての組織にKEVの脆弱性を優先して直すよう勧めています。
攻撃の報告（あるECセキュリティ企業の調査）
以下は、ECサイトの改ざんを専門に調べるセキュリティ企業の報告で、Adobeは確認していません。
2026年3月17日
その企業が、Magento・Adobe Commerceのファイルアップロードの脆弱性を「PolyShell」と名付けて公表。当時、修正は公開前の版（2.4.9のプレリリース）にしかなかったとしている2026年3月30日
同じ企業が、PolyShellを使った大規模な攻撃で、1時間に471店が侵入されたと報告（この報告にCVE番号の記載はない）2026年7月14日
AdobeがAPSB26-73を公開し、サポート中の各系列に修正を出す2026年10月24日
その企業が、PolyShell（CVE-2026-48356）やSessionReaperなど別の脆弱性で置いたWebシェルを足がかりに、店のページへJavaScriptを差し込む攻撃が、2025年7月以降、おもにMagentoの計953店に及んだと報告2026年10月27日
米CISAがKEVへ追加
10月24日の報告によると、攻撃者はWebシェルを置いたあと、データベースの cms_block（店のページに表示する部品）にJavaScriptを差し込みました。このスクリプトは外部のサイトから、見た人ごとに転送先や追加のプログラムを返す仕組みを読み込みます。953店はおもにMagentoの店舗で、別の脆弱性（SessionReaper、CVE-2025-54236）で侵入された店も含まれます。
報告は、修正済みの店舗にも差し込みが届いたとしています。例として、2.4.7-p10でコアの修正の漏れがない店舗を挙げています。スクリプトを消しても、攻撃者の入り口は残るとも書いています。入り口が過去に置かれたWebシェルなのか、ほかの経路なのかは、報告からは分かりません。
この企業の言うPolyShellがCVE-2026-48356と同じものなら、3月の大規模な攻撃は、Adobeが7月にサポート中の系列へ修正を出す前に起きていたことになります（当サイトの推測。Adobeは悪用を確認していません）。7月より前から店を運営していた場合は、3月までさかのぼって痕跡を調べるのが安全です。
日本での状況
10月28日時点で、JPCERT/CCとIPAはこの脆弱性の注意喚起を出していません。国内の店舗がこの脆弱性で被害を受けたという公表も、当サイトが確認した範囲では見当たりません。
ページに差し込まれたスクリプトが決済画面に置かれると、客が入力したカード情報が流出する可能性があります。カード情報を扱う店舗が守る基準はPCI DSS、ページに不正なスクリプトを動かされる仕組みはXSS（クロスサイトスクリプティング）の解説が参考になります。
当サイトの見方
ファイルを置ける脆弱性は、修正したあとも被害が続くのが特徴です。置かれたファイルとページの差し込みは、修正の前に起きていれば残ります。今回は、Adobeが修正を出してから3か月半たってKEVに入りました。7月の修正を当てた店舗も「直したから終わり」ではなく、修正を当てた日より前の侵入を調べる必要があります。
調べる場所は、Magentoの場合ほぼ決まっています。アップロード用のフォルダー、cms_block・cms_page、admin_user の3か所です。保守会社に依頼するときも、この3か所を名指しして結果を聞くと、確認の漏れを防げます。ファイルアップロードの脆弱性の一般的な防ぎ方は、ファイルアップロードの脆弱性にまとめています。
まだ分かっていないこと
| 項目 | 状態 |
|---|---|
| Adobeによる悪用の確認 | セキュリティ情報（8月11日更新）は「把握していない」のまま |
| 悪用の規模 | 米CISAは詳細を公表していない。数字はあるECセキュリティ企業の報告のみ |
| PolyShellとこのCVEの対応 | その企業の報告による。Adobeは呼び名に触れていない |
| 2.4.9の扱い | Adobeの表では対象。その企業は2.4.9に修正が入ったとしている（Adobeの表に従う） |
| 国内の被害 | 公表は見当たらない |
出典
いずれも2026年10月28日に確認しました。
- Adobe「Security update available for Adobe Commerce | APSB26-73」（2026年7月14日公開、8月11日更新） — adobe.com
- Adobe「Security update available for Adobe Commerce - APSB26-73」（リリースノート、KA-37421） — experienceleague.adobe.com
- 米CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog」（2026年10月27日） — cisa.gov
- 米CISA「Known Exploited Vulnerabilities Catalog」（2026年10月27日版のデータ） — cisa.gov
- NVD「CVE-2026-48356」 — nvd.nist.gov
- あるECセキュリティ企業の報告（2026年10月24日、侵入の痕跡の探し方を含む） — sansec.io
- 同じ企業のPolyShellの解説（2026年3月17日公開、一時的な対策を含む） — sansec.io ／ 3月の大規模な攻撃の報告（2026年3月30日） — sansec.io
- JPCERT/CC「注意喚起」一覧（2026年） — jpcert.or.jp
更新履歴
2026-10-28：初版。Adobe、米CISA、NVDの公開情報と、あるECセキュリティ企業の報告にもとづく。
次に読む
- 同じ型の脆弱性の防ぎ方：ファイルアップロードの脆弱性とは（Webシェル・RCEを防ぐ）
- ページに不正なスクリプトを動かされる仕組み：XSS（クロスサイトスクリプティング）とは
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 脆弱性が公表されたとき：脆弱性が公表されたときの対応手順
- 同じ日にKEVに入った脆弱性：Brotli脆弱性 CVE-2026-111497
- 用語：バックドアとは ／ PCI DSSとは ／ CVSSとは