Adobeは、複数バージョンのMagentoおよびAdobe Commerceに影響する、最大深刻度の実悪用ゼロデイ脆弱性「StyleSmuggler」ことCVE-2026-75650に対する緊急修正をリリースしました。
Eコマースセキュリティ企業Sansecの発見によると、この脆弱性は少なくとも9月4日以降、攻撃に悪用され、脆弱なWebサイトにバックドアを仕掛けるために使われていました。
このバックドアは、コマンド&コントロール(C2)ホストを通常のNetwork Time Protocol(NTP)サーバーに見せかけて偽装していました。しかし、「Payment Transaction Failed Reminder(決済処理失敗のリマインダー)」メールなど、侵害されたホストには活動の明確な痕跡が残っていました。
Adobeは昨日のアップデートで、Adobe CommerceおよびMagentoにおけるStyleSmuggler脆弱性に対処するセキュリティ修正をリリースしました。
「このアップデートは、任意のコード実行につながる可能性のある重大な脆弱性を解決するものです。AdobeはCVE-2026-75650が実際に悪用されていることを認識しています」と、セキュリティ勧告には記載されています。
Adobeによると、この脆弱性は自社Eコマース製品の以下のバージョンに影響します。
- Adobe Commerce バージョン2.4.4から2.4.9(各ブランチの2026年8月リリース版およびそれ以前の各バージョンを含む)
- Adobe Commerce B2B バージョン1.3.3から1.5.3(各ブランチの2026年8月リリース版およびそれ以前の各バージョンを含む)
- Magento Open Source バージョン2.4.6から2.4.9(各ブランチの2026年8月リリース版およびそれ以前の各バージョンを含む)
Adobeは今回のアップデートに最優先の重要度を割り当てており、CVE-2026-75650への対処としてVULN-39341ホットフィックスを直ちに適用するよう推奨しています。
ホットフィックスを適用した後、管理者はメンテナンスモードを有効にし、cronジョブを一時停止したうえで、管理者パスワード、GraphQL統合トークン、OAuthクライアントシークレット、決済ゲートウェイAPI認証情報、データベース認証情報、SSHキー、APIキーを含むすべてのシークレットをローテーションする必要があります。
ローテーション後は、キャッシュのフラッシュ、cron実行の復元、メンテナンスモードの無効化を行うことが推奨されています。
Adobeによれば、このホットフィックスは影響を受ける製品ブランチの2026年8月リリース版に対してのみテストされており、他のリリース版でも動作する可能性はあるものの、互換性は確認されていないとのことです。
Sansecは当初の報告に対する更新の中で、無関係なツールを使う第二の攻撃者が、CVE-2026-75650を悪用して485バイトのPHP Webシェルを展開していることを確認したと報告しています。
このマルウェアは基本的なサーバー情報を収集し、pub/mediaの場所が書き込み可能かどうかを確認したうえで、oast.siteサブドメインへのリクエストを通じてデータを外部に送信します。このドメインは、オープンソースツールのInteractshを使ったセキュリティテストで一般的に見られるものです。
悪用活動が増加していることから、管理者はAdobeのホットフィックスまたは緩和策をできるだけ早く適用することが強く推奨されます。
