Adobe、Commerceのゼロデイ脆弱性を含む170件超の脆弱性を修正

Adobeは、悪用が確認されているAdobe CommerceおよびMagento Open Sourceの深刻な脆弱性に対する緊急パッチを含め、複数の製品にまたがる170件超の脆弱性に対する修正を公開しました。

CVE-2026-75650(CVSSスコア10/10)として追跡されているこの脆弱性は、認証なしで悪用可能なコードインジェクションの問題で、リモートコード実行(RCE)につながります。

Adobeはアドバイザリの中で、「AdobeはCVE-2026-75650が実際に悪用されていることを把握している」と述べています。また、この更新の詳細を記したKB記事も公開しています。

この脆弱性が月曜日に修正されたのは、サイバーセキュリティ企業のSansecが週末にかけて、攻撃者がCommerce/Magentoのゼロデイ脆弱性を悪用してオンラインストアを侵害していると警告したことを受けたものです。

攻撃者は「StyleSmuggler」と名付けられたこの問題の悪用を9月4日から開始し、Magentoの標準機能である「Payment Transaction Failed Reminder(決済失敗リマインダー)」をトリガーとしてコードを実行させ、ユーザー操作なしで侵害を成立させていました。

Sansecの最新のレポートによると、複数の脅威アクターがこの脆弱性を標的にバックドアやWebシェルを展開しているとのことです。

Commerce/Magentoの利用者は、Adobeの修正プログラムを速やかに適用したうえで、暗号鍵と、その鍵で保護されているすべての認証情報(管理者パスワード、データベース認証情報、連携トークン、OAuthシークレット、SSH鍵・デプロイ鍵、APIキーなど)をローテーションする必要があります。

Sansecは「暗号鍵だけでなく、その元となる情報源側でローテーションを行ってください。暗号鍵単体のローテーションでは、攻撃者がすでに読み取った情報を無効化することはできません」と指摘しています。

火曜日には、Adobeはさらに8件のCommerce関連脆弱性に対するパッチも公開しました。この中には、深刻度が「緊急」の権限昇格の脆弱性2件と、深刻度「重要」のセキュリティ回避・権限昇格の脆弱性6件が含まれます。

同社はまた、Campaign Classicにおける任意のコード実行につながるOSコマンドインジェクションの欠陥であるCVE-2026-82004(CVSSスコア10/10)に対しても、緊急パッチを公開しました。

ColdFusionの最新のセキュリティ更新プログラムも優先度1に指定されており、深刻度「緊急」のコード実行に関する脆弱性2件、CVE-2026-48273(CVSSスコア9.9/10)およびCVE-2026-75746(CVSSスコア9.1/10)、さらに深刻度「重要」および「中程度」の脆弱性7件に対応しています。

Adobeは、優先度1の更新プログラムについては公開後3日以内に適用するよう推奨しています。

火曜日には、AdobeはExperience Managerの107件、Acrobat Readerの32件、Photoshopの8件、Illustratorの3件、Animateの1件の脆弱性についても修正を展開しました。Photoshop Mobileについても修正が展開されています。

Adobeは、Commerce/Magentoのゼロデイ脆弱性を除き、今回新たに修正された脆弱性について、攻撃での悪用は確認されていないとしています。詳細については、Adobeのセキュリティアドバイザリページを参照してください。