CVE-2026-75650 Adobe Commerceのゼロデイ脆弱性、パッチだけでは不十分

Adobeは、パッチ提供前から攻撃者に悪用されていたAdobe CommerceおよびMagento Open Sourceの重大な脆弱性、CVE-2026-75650を修正しました。認証不要のリモートコード実行を可能にするこの欠陥はCVSSスコア10.0を記録しており、セキュリティ企業Sansecは「StyleSmuggler」として追跡しています。

VULN-39341のホットフィックスによって脆弱性自体は塞がれますが、パッチ適用前に侵害されたストアには、依然として持続的なマルウェアや漏えいした認証情報が残っている可能性があります。Adobeは加盟店に対し、Commerceの暗号化キーだけでなく、パスワード、トークン、決済認証情報、データベース認証情報など、攻撃者がアクセスした可能性のあるあらゆる秘密情報をローテーションするよう求めています。

AdobeのAPSB26-146アドバイザリは実際の悪用を確認しており、攻撃者は認証なしで任意のコードを実行できるとしています。防御側はこの欠陥をCVSSスコアだけで判断すべきではありません。実際の悪用と持続的な侵害という要素が、スコア上の深刻度以上に対応の緊急性を高めているためです。

StyleSmugglerがMagentoストアを侵害する仕組み

Sansecによれば、最初に確認された悪用は9月4日22:20 UTCに発生しました。その後Sansecは、未修正のMagento Open Source 2.4.7、2.4.8、2.4.9のクリーンな環境で、認証不要の攻撃チェーン全体を再現することに成功しています。

この攻撃はMagentoのテンプレートシステムを悪用します。攻撃者はまずMagentoが後に処理するデータにPHPコードを注入し、その後プラットフォームの「決済取引失敗通知メール」機能をトリガーすることで、Magentoに毒入りコードを実行させます。

従業員や顧客がメールを開く必要は一切ありません。悪意のあるコードはMagentoがメッセージをレンダリングする際に実行されるため、メールの配信自体が失敗しても攻撃は成立します。

攻撃が成功すると、Webルートの外側にマルウェアがインストールされる場合があります。Sansecは当初、[kworker/u:8:0]というプロセス名に偽装したRust製のインプラントを確認しました。その後のビルドではfc-cache、続いてchronydという、通常のLinuxプロセスを模した名称が使われています。

インプラントの亜種ごとに永続化の手法も変化しています。マルウェアを再起動させるcronジョブを作成するビルドがある一方、あるchronyd亜種はcronエントリを一切使わずに再起動していました。つまり、crontabが空であることは、ホストが「クリーン」であることの証明にはなりません。

侵害されたMagentoサーバーを直接調査したDisrexは、あるマネージドサーバーが最初に確認されたStyleSmuggler攻撃からわずか50分後に攻撃を受けていたと報告しています。このサーバーは、これまで判明していた脆弱性についてはすべてパッチが適用済みでした。

2025年のSessionReaper攻撃でも、攻撃者はMagentoを悪用した後にアクセスを維持するためPHPウェブシェルを展開していました。防御側にとっては、初期侵入経路を塞いだ後も持続的な侵害の有無を確認すべき、もう一つの根拠となります。

Adobeのホットフィックスが必要な対象

Adobeが影響を受けるとしているAdobe Commerceのブランチは、2026年8月ビルドおよびそれ以前のリリースを含む2.4.4から2.4.9までです。影響を受けるAdobe Commerce B2Bのバージョンは、1.3.3から1.5.3までのブランチが対象となります。

Magento Open Sourceについては、2.4.6、2.4.7、2.4.8、2.4.9の各ブランチが影響を受けます。

Adobeは顧客に対し、自身のバージョンに適したVULN-39341のcomposerホットフィックスを導入するよう求めています。Adobe Commerce on Cloudについては、Quality Patches Toolのコマンドを使ってホットフィックスがApplied状態になっているかを確認できるようにもしています。

2026年9月のCommerceセキュリティリリースを適用しても、この対応が不要になるわけではありません。AdobeはAPSB26-138の中で、9月のセキュリティアップデートに加えてCVE-2026-75650のホットフィックスを別途適用するよう、顧客に明確に指示しています。

Adobeによれば、このホットフィックスは記載されている2026年8月版で動作確認済みです。他のサポート対象構成でも動作する可能性はありますが、Adobeはそれらの組み合わせについては検証していないとしています。

パッチ適用後に防御側が確認すべきこと

Sansecはこのキャンペーンが始まって以降、複数のインプラント亜種を確認しています。そのため防御側は、単一のファイル名やプロセス名だけを頼りにすべきではありません。

Sansecによれば、別の攻撃者もStyleSmugglerによるアクセスを利用し、商品画像キャッシュ配下にPHPウェブシェルを設置していたことが確認されています。このペイロードは主要なRust製インプラントとは無関係のものであり、既知のマルウェアファミリーを一つ発見・除去したからといって、それ以外の侵害がないとは限らないことを示しています。

Sansecによれば、eComscanはStyleSmugglerの既知のバックグラウンドプロセスを検知でき、Shield契約顧客向けにはそれらを終了させることも可能だとしています。同社は新たなインプラント亜種の出現に合わせ、検知機能の改善を続けています。

Sansecは、主要なバックドアが攻撃者によるコマンド実行に使われたという証拠は報告していませんが、すでに侵害されたホストについては調査が依然として必要だとしています。

封じ込め対応にあたるチームは、公開されているサービスを制限し、可能な範囲で外向き通信を制限することで不要な攻撃対象領域を減らすべきです。これにより、ホストの調査中にインプラントがコマンド&コントロール基盤へ到達することを難しくできます。

Adobeが認証情報のローテーションを求める理由

Adobeは、Commerceの暗号化キーを変更しても、攻撃者がすでに入手している可能性のある秘密情報自体は無効化されないと警告しています。

ホットフィックス適用後、Adobeが示す対応手順には、ストアをメンテナンスモードにし、cronを無効化した上で、以下をローテーションすることが含まれます。

• Commerce暗号化キーと管理者パスワード
• REST、SOAP、GraphQLの連携トークン
• OAuthクライアントシークレット
• Stripe、Braintree、Adyen、PayPalなどの決済ゲートウェイの認証情報
• データベース認証情報
• SSHおよびデプロイ用の鍵
• 権限の高いサービスアカウントの認証情報
• 配送、税務、その他サードパーティAPIのキー

その後Adobeは、加盟店に対しキャッシュのフラッシュとcronの実行再開を指示し、ローテーション作業が完了した後にメンテナンスモードを解除するよう求めています。

決済関連やサードパーティの認証情報は、Adobe Commerce内だけでなく、外部の提供事業者側でも変更する必要があります。攻撃者がすでに有効な秘密情報をコピーしていた場合、Commerce側で保存データの暗号化方式を変えても、その認証情報自体は無効化されないためです。

9月7日のホットフィックス提供以前に外部からアクセス可能だったストアは、CVE-2026-75650を単なるパッチ適用作業としてではなく、インシデント対応の課題として扱うべきです。ホットフィックスを適用し、Adobeがサポートする確認手段がある場合はそれで検証した上で、持続的な侵害の痕跡を捜索し、漏えいの可能性がある認証情報をローテーションし、不審な活動を調査してから、ストアの運用を通常に戻すことが求められます。

関連記事: GoogleはCVE-2026-85046を修正しました。実際の悪用が確認されたことを受けての対応で、これにより2026年に修正されたChromeのゼロデイ脆弱性は6件目となります。