Adobe Commerceのバグ、公開直後に攻撃対象に

Webストアセキュリティ企業のSansecによると、Adobe Commerceで新たに発見された緊急度の高い脆弱性が、公開直後からハッカーの標的にされていたことが分かりました。

CVE-2026-71362(CVSSスコア9.1)として追跡されているこのセキュリティ上の欠陥は、不適切な認可の問題であり、未認証の攻撃者が権限を昇格させることを可能にするものです。

Adobeは2026年8月のパッチチューズデーでこの欠陥を修正し、実際の攻撃で悪用された証拠はないとしながらも、脅威アクターが過去にCommerceを標的にしてきた経緯があると警告しました。

Adobeのセキュリティ勧告が公開された直後、Sansecはこの脆弱性を狙った最初の悪用試行をブロックしたと警告しました。

Sansecによると、この脆弱性はリモートの未認証攻撃者によって悪用され、他の顧客アカウントを乗っ取ることが可能だといいます。

「Sansecはパッチを精査し、この脆弱性が攻撃者に顧客セッションを別の顧客アカウントへ切り替えさせることを許してしまうと確認しました。これにより攻撃者は被害者のアカウントと顧客の個人情報にアクセスできてしまいます」と同セキュリティ企業は指摘しています。

Sansecによると、Adobeは根本原因について、CommerceおよびMagentoがアカウントセッション内で顧客IDを扱う方法を変更することで修正したとのことです。

この脆弱性は、2026年7月のパッチを適用したバージョンを含め、それ以前のすべてのCommerce、Commerce B2B、Magento Open Sourceのバージョンに影響します。

Adobeは火曜日、この緊急度の高い欠陥および3製品に存在するその他6件のセキュリティ上の欠陥を修正する個別パッチをリリースし、導入手順を公開しました。

「最新のセキュリティアップデートを速やかに適用してください。これらの脆弱性が悪用されると、任意のコード実行、セキュリティ機能の回避、権限昇格につながる恐れがあります」と同社は述べています。

「[この個別パッチにより]、統合上の問題によって生じうる遅延のリスクを抑えつつ、加盟店が単独で修正を適用できるようになります」とAdobeは述べています。