ハッカーがAdobe Commerceの重大な脆弱性を悪用し、顧客アカウントを乗っ取り

Adobeのeコマースプラットフォーム「Commerce」および「Magento」に存在する重大な脆弱性(CVE-2026-71362)を悪用しようとする試みが検出されています。この脆弱性は顧客アカウントの乗っ取りにつながる恐れがあります。

この欠陥は認可の不備に分類される脆弱性で、認証なしに「機密性の高いリソースへの昇格したアクセス権限を取得」するために悪用される可能性があります。Adobeが昨日公開したセキュリティアップデートで対処した7件の問題のうちの1つです。

Adobeはアドバイザリの中で、修正された脆弱性のいずれについても実際に悪用された事例は確認していないとしていますが、eコマースセキュリティ企業のSansecは、自社のウェブアプリケーションファイアウォール(WAF)「Shield」がすでにCVE-2026-71362の悪用試行をブロックしていると述べています。

Sansecによると、この脆弱性の悪用には「既存アカウント、管理者権限、ユーザー操作のいずれも必要ありません」。

研究者らはAdobeのパッチを分析した結果、問題の原因はMagentoがアカウントセッション内で顧客のアイデンティティを適切に処理していなかったことにあると特定しました。

「Sansecはパッチを精査し、この脆弱性によって攻撃者が顧客セッションを別の顧客アカウントに切り替えられることを確認しました。これにより攻撃者は被害者のアカウントおよび個人の顧客データにアクセスできるようになります」と同社は説明しています。

Adobeが昨日のアップデートで修正したその他の脆弱性のうち4件は深刻度「高」の評価を受けており、残る2件は「中」および「低」となっています。

• CVE-2026-48414(深刻度スコア7.7、高): 任意コード実行につながる可能性のある格納型クロスサイトスクリプティングの脆弱性。悪用には認証と管理者権限が必要です。
• CVE-2026-48413(深刻度スコア8.7、高): 任意コード実行につながる可能性のある格納型クロスサイトスクリプティングの脆弱性。認証は必要ですが、管理者権限は不要です。
• CVE-2026-48415(深刻度スコア7.6、高): Adobe Commerce B2Bに影響する認可の不備の脆弱性で、セキュリティ機能の回避につながる可能性があります。認証は必要ですが、管理者権限は不要です。
• CVE-2026-48416(深刻度スコア7.5、高): セキュリティ機能の回避につながる可能性のある認可の不備の脆弱性。認証・管理者権限のいずれも不要です。
• CVE-2026-48411(深刻度スコア6.5、中): セキュリティ機能の回避につながる可能性のある認可の不備の脆弱性。悪用には認証と管理者権限が必要です。
• CVE-2026-48412(深刻度スコア2.7、低): 権限昇格につながる可能性のある認可の不備の脆弱性。悪用には認証と管理者権限が必要です。

ウェブサイト管理者は、現在サポートされているCommerce、Commerce B2B、Magentoの各リリースラインに対し、2026年8月分のセキュリティアップデートを速やかに適用することが推奨されます。

Sansecによると、これらの月次修正プログラムは新しいセキュリティリリースや更新版のComposerパッケージとしてではなく、個別のパッチファイルとして配布されます。

ウェブサイト管理者は、対応する個別パッチを適用する前に、まずサポート対象のリリースブランチで利用可能な最新の-pリリースを実行していることを確認する必要があります。