重要ポイント
- 何が起きたか: Adobe Commerce と Magento のファイルアップロードの脆弱性(CVE-2026-48356)の悪用を、CISA が 2026年10月27日に確認し KEV に追加
- 深刻度: Adobe の評価は「Critical」。危険な種類のファイルをサーバーに置かれるおそれ(CWE-434)
- 対象: Adobe Commerce 2.4.4〜2.4.9、Magento Open Source 2.4.6〜2.4.9 など(2026年7月のパッチ適用前)
- 修正: 2026年7月14日の APSB26-73 のパッチ(例 2.4.8-2026-jul)
- 期限: 米連邦機関の対処期限は 2026年11月10日
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| Adobe Commerce | 2.4.9、2.4.8-p5 以前、2.4.7-p10 以前、2.4.6-p15 以前、2.4.5-p17 以前、2.4.4-p18 以前 | 2.4.9-2026-jul、2.4.8-2026-jul、2.4.7-2026-jul、2.4.6-2026-jul、2.4.5-2026-jul、2.4.4-2026-jul |
| Magento Open Source | 2.4.9、2.4.8-p5 以前、2.4.7-p10 以前、2.4.6-p15 以前 | 2.4.9-2026-jul、2.4.8-2026-jul、2.4.7-2026-jul、2.4.6-2026-jul |
| Adobe Commerce B2B | 1.5.3、1.5.2-p5 以前、1.4.2-p10 以前、1.3.4-p17 以前、1.3.3-p18 以前 | 1.5.3-2026-jul、1.5.2-2026-jul、1.4.2-2026-jul、1.3.4-2026-jul、1.3.3-2026-jul |
| Adobe Commerce Events | 1.6.0〜1.20.0 | 1.21.0 |
対処: 2026年7月の「-2026-jul」パッチ(APSB26-73)を適用します。すでに適用済みなら、この脆弱性は塞がっています。適用していない環境は、早急に適用してください。
確認: bin/magento --version と、適用したパッチの一覧(Composer のバージョンや管理画面のシステム情報)で「-2026-jul」以降かを確かめます。なお、上のバージョンの範囲は第三者の解説(Meetanshi)と CVE の情報に基づくもので、Adobe の公式ページを確認できなかったため、最終確認は Adobe の APSB26-73 で行ってください。
概要
米 CISA は 2026年10月27日、Adobe Commerce と Magento の脆弱性 CVE-2026-48356 を、悪用が確認された脆弱性の一覧(KEV)に追加しました。この脆弱性は Adobe が 2026年7月14日にパッチを公開していたもので、約3か月たってから実際の攻撃が確認された形です。パッチを当てていない EC サイトは、すぐに適用してください。
影響と対処
どんな問題か
ファイルのアップロード処理で、危険な種類のファイルを制限できない問題(Unrestricted File Upload)です。悪用されると、悪意のあるファイルがサーバーに置かれ、権限の昇格につながるおそれがあります。攻撃の具体的な方法は公表されていないため、ここでも触れません。
対処方法
「-2026-jul」のパッチを適用します。パッチを当てるまでの間は、アップロード先のディレクトリで PHP などのスクリプトが実行されない設定になっているかの確認や、Web アプリケーション ファイアウォール(WAF)の保護の強化が助けになります。すでに侵害されていないかの確認として、アップロード用のディレクトリに見覚えのないファイルがないか、不審なアクセスのログがないかも点検してください。
CISA の KEV の記載では、ランサムウェアでの悪用は「不明」です。
対応チェックリスト
- Magento / Adobe Commerce のバージョンとパッチの状況を確認する
- 「-2026-jul」以降のパッチを適用する(Adobe Commerce B2B・Events も忘れずに)
- アップロード用ディレクトリに見覚えのないファイルがないか点検する
- アクセスログに不審な形跡がないか確認する
出典
- Known Exploited Vulnerabilities Catalog(CISA・2026年10月27日追加)
- 「Brotli」や「Adobe Commerce」「Magento」の脆弱性悪用を確認(Security NEXT・2026年10月28日)
- APSB26-73: Adobe Commerce & Magento Security Update – July 2026(Meetanshi・2026年7月15日。Adobe の公式ページ APSB26-73 の解説)
