Adobeは、Adobe Commerce、Adobe Commerce B2B、Magento Open Sourceを対象に、複数の重大な脆弱性に対応するセキュリティアップデートを公開しました。
クラウドセキュリティサービス
最も深刻な問題の一つが、影響度の高い権限昇格の脆弱性で、CVE-2026-71362として追跡されており、認証なしで悪用可能です。
この脆弱性は認可制御の不備に起因しており、CVSSベーススコアは10点満点中9.1となっています。Adobeによると、悪用に成功した攻撃者はセキュリティ対策を回避し、任意のコードを実行したり、脆弱なEコマース環境内で権限を昇格させたりできる可能性があるとしています。
Adobe Commerceの重大な脆弱性
最も深刻な脆弱性は、2026年7月のセキュリティアップデートビルド以前を実行しているAdobe Commerceの導入環境、具体的にはバージョン2.4.4から2.4.9に影響します。
この脆弱性のCVSSベクターはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nであり、リモートから悪用可能で、攻撃者の権限もユーザー操作も必要とせず、機密性と完全性に大きな影響を与える可能性があることを示しています。
可用性には直接的な影響はないものの、昇格した権限を得た攻撃者は機密性の高いストアデータへアクセスしたり、アプリケーション設定を変更したり、さらなる侵害への足がかりを築いたりする恐れがあります。
Adobeが2026年8月11日に公開したセキュリティ情報APSB26-92では、認可の不備や格納型クロスサイトスクリプティング(XSS)の脆弱性を含む、他のいくつかの重大な問題にも対応しています。
注目すべき未認証の認可不備の脆弱性であるCVE-2026-48416は評価が7.5で、セキュリティ機能の回避を引き起こす可能性があります。
CVE-2026-71362ほど深刻ではないものの、認証を必要としない点はインターネットに公開されたストアフロントや管理インターフェースにとって特に懸念材料となります。この脆弱性はセキュリティ研究者のWohlie氏によって報告されました。
2件の格納型XSS脆弱性、CVE-2026-48413とCVE-2026-48414は、特定の条件下で任意コード実行につながる可能性があります。CVE-2026-48413のCVSSスコアは8.7で、低権限での認証とユーザー操作が必要です。
一方、CVE-2026-48414は評価が7.7で、さらに管理者権限も必要とします。Adobeは、Adobe Commerce B2Bコンポーネントに影響する重大なセキュリティ機能回避の問題であるCVE-2026-48415についても修正しており、加えて深刻度の低い認可の脆弱性2件、CVE-2026-48411とCVE-2026-48412にも対応しています。
各組織には、直ちに2026年8月版のビルドへアップグレードすることが強く推奨されています。Adobe Commerceの利用者は、サポート対象のリリースブランチに応じて、2.4.9-2026-aug、2.4.8-2026-aug、2.4.7-2026-aug、2.4.6-2026-aug、2.4.5-2026-aug、2.4.4-2026-augのいずれかへ更新する必要があります。
Adobe Commerce B2Bの利用者は、2026年8月版の1.3.3から1.5.3に対応するパッケージを適用する必要があり、Magento Open Sourceの利用者はサポート対象の導入環境を2.4.6から2.4.9へ更新する必要があります。
Adobeはこのアップデートに優先度2の評価を割り当てており、APSB26-92で対応した脆弱性が実際の攻撃で悪用された事例は確認していないとしています。
脆弱性評価サービス
しかし、CVE-2026-71362が未認証で悪用でき、攻撃の複雑さも低いことから、速やかなパッチ適用が極めて重要です。管理者は、特権アカウントの活動を確認し、想定外の設定変更を調査し、拡張機能の整合性を検証するとともに、公開されたCommerce環境が適切なWebアプリケーションファイアウォールとアクセス制御ポリシーによって保護されていることを確認する必要があります。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
翻訳元: https://gbhackers.com/critical-adobe-commerce-flaw/
