Adobe CommerceとMagentoに悪用確認、店舗は更新を

やること

Adobe Commerce と Magento Open Source はネット通販のサイトを作る基盤です。7月の更新 APSB26-73 を当てていない場合は、すぐに適用してください。

あわせて、侵入された跡がないかを調べてください。セキュリティ企業の Sansec は、修正済みの店舗でも不正なコードが見つかったと報告しています。修正を当てただけでは過去の侵入を否定できません。

• 対象の版は、上の表のとおりです。Adobe Commerce と Magento Open Source では、2.4.8-2026-jul のように版ごとの修正版が用意されています
• 運用を制作会社や保守会社に任せている場合は、APSB26-73 を適用済みかを問い合わせます
• 侵入の確認は、次の「侵入の跡の調べ方」のとおりです

何が危ないのか

CVE-2026-48356 は、危険な種類のファイルをアップロードできてしまう欠陥です。Adobe の説明では、攻撃にログインは要りません。Adobe の評価は Critical で、CVSS は 9.6 です。

Adobe は7月14日に修正版を公開し、その時点では悪用を把握していないとしていました。米国の CISA は10月27日に、悪用が確認された脆弱性の一覧（KEV）へ追加しました。同じ APSB26-73 には14件の欠陥があり、Critical が8件、Important が4件、Moderate が2件です。CVE-2026-48356 は、その中で CVSS がいちばん高い欠陥です。

Sansec は10月24日の報告で、この欠陥を PolyShell と呼んでいます。攻撃者は3月にこの欠陥で Web シェル（外から操作するための不正なファイル）をアップロードし、そのうち471店舗には1時間で不正な JavaScript を仕込みました。同じ集団の被害は、2025年7月以降で953店舗にのぼるとされています。

10月の報告では、書き換えに新しい脆弱性は使われていません。ローダーが見つかった83店舗のうち60店舗は、すでに以前のローダーに感染していました。Sansec は、過去の波は Magento のファイルアップロードの欠陥に起因するとみています。

侵入の跡の調べ方

ローダーは cms_block というデータベースのテーブルに保存されます。そのため、スクリプトを消しても、攻撃者がデータベースへ書き込める状態は残ります。訪問者のブラウザは攻撃者のサーバーに問い合わせ、返ってきたスクリプトを実行します。セキュリティスキャナーには何も返さない作りです。

Sansec が勧める確認は次のとおりです。

• cms_block と cms_page の両方で、fpCode などの不正なコードの断片がないかを探します。ドメイン名は Base64 で隠されることが多いので、ドメイン名ではなくコードの形で探します
• アップロード先の pub/media/custom_options/ や pub/media/customer_address/ に、.htaccess 以外の身に覚えのないファイルがないかを見ます。画像に見せかけた Web シェルが置かれていた例があります
• admin_user テーブルに、身に覚えのない管理者アカウントがないかを見ます

見つかった場合は、スクリプトを消したうえで cms_block と cms_page を再確認し、データベース、管理者、API 連携のパスワードをすべて変えます。コアのパッチが欠けていない Magento 2.4.7-p10 の店舗が、10月23日にローダーを仕込まれた例もあります。この店舗では、9月に不正な管理者アカウントとバックドアが見つかっていました。

対象

上の表のバージョンが対象です。Adobe Commerce B2B（1.3.3 から 1.5.3）と Adobe Commerce Events（1.6.0 から 1.20.0）も APSB26-73 の対象です。Events の修正版は 1.21.0 です。Magento Open Source の 2.4.5 と 2.4.4 は、Adobe のページの表に修正版が載っていません。使っている場合は、Adobe の案内で確かめてください。