Adobe Commerce
このタグの記事 2 件
Adobe Commerce・Magentoの脆弱性 CVE-2026-48356｜米CISAが悪用を確認（KEV）・7月の修正と侵入の確かめ方
米CISAは2026年10月27日、Adobe Commerce・Magento Open Sourceのファイルアップロードの脆弱性CVE-2026-48356を、悪用が確認された脆弱性の一覧（KEV）に加えた。米国の連邦政府機関の対応期限は11月10日。Adobeは2026年7月14日のセキュリティ情報APSB26-73でこの脆弱性を含む14件を直しており、Adobe Commerce 2.4.4〜2.4.9、Magento Open Source 2.4.6〜2.4.9、Adobe Commerce B2B、Adobe Commerce Eventsが対象。修正は各系列の「2026-jul」のセキュリティ修正（Eventsは1.21.0）。深刻度はAdobeのセキュリティ情報の表でCVSS 9.6、AdobeのCVE登録とNVDでは9.3で、違いは可用性への影響の評価だけ。Adobeのセキュリティ情報（8月11日更新）は、悪用を把握していないとしたままになっている。あるECセキュリティ企業は10月24日、この脆弱性（同社の呼び名はPolyShell）や別の脆弱性で置かれたWebシェルを足がかりに、店舗のページにJavaScriptを差し込む攻撃が、2025年7月以降、おもにMagentoの計953店に及んだと報告し、修正済みの店舗でも差し込みが見つかったとしている。日本の公的機関の注意喚起と国内の被害の公表は、10月28日時点で見当たらない。当サイトの結論：Adobe Commerce・Magentoの店舗は、7月の修正が当たっているかを今日確かめ、当たっていても、アップロード用のフォルダー、CMSブロック、管理者アカウントに侵入の跡がないかを調べる。
CVE-2026-71362 — Adobe Commerce／Magentoの認証なし権限昇格（解説と対応策）
Adobe Commerce／Magento Open Source の不適切な認可（CWE-863・CVSS 9.1・認証不要）。修正版（各系列の 2026-aug）は8月11日から出ているが、CISAが9月24日にKEV追加＝悪用を確認。当サイトの結論＝公開時の『優先度2・悪用は未確認』で後回しにした店舗ほど危ない。更新に加えて、未更新だった期間に入られていないかの確認までが対応。