2026-10-28
Adobe Commerce・Magentoの脆弱性 CVE-2026-48356｜米CISAが悪用を確認（KEV）・7月の修正と侵入の確かめ方
米CISAは2026年10月27日、Adobe Commerce・Magento Open Sourceのファイルアップロードの脆弱性CVE-2026-48356を、悪用が確認された脆弱性の一覧（KEV）に加えた。米国の連邦政府機関の対応期限は11月10日。Adobeは2026年7月14日のセキュリティ情報APSB26-73でこの脆弱性を含む14件を直しており、Adobe Commerce 2.4.4〜2.4.9、Magento Open Source 2.4.6〜2.4.9、Adobe Commerce B2B、Adobe Commerce Eventsが対象。修正は各系列の「2026-jul」のセキュリティ修正（Eventsは1.21.0）。深刻度はAdobeのセキュリティ情報の表でCVSS 9.6、AdobeのCVE登録とNVDでは9.3で、違いは可用性への影響の評価だけ。Adobeのセキュリティ情報（8月11日更新）は、悪用を把握していないとしたままになっている。あるECセキュリティ企業は10月24日、この脆弱性（同社の呼び名はPolyShell）や別の脆弱性で置かれたWebシェルを足がかりに、店舗のページにJavaScriptを差し込む攻撃が、2025年7月以降、おもにMagentoの計953店に及んだと報告し、修正済みの店舗でも差し込みが見つかったとしている。日本の公的機関の注意喚起と国内の被害の公表は、10月28日時点で見当たらない。当サイトの結論：Adobe Commerce・Magentoの店舗は、7月の修正が当たっているかを今日確かめ、当たっていても、アップロード用のフォルダー、CMSブロック、管理者アカウントに侵入の跡がないかを調べる。