Magento中心に953店舗へ不正コード、検査を避けるCMS埋め込み型の攻撃
影響を受けるもの
- Magentoを使用するECサイト
- Adobe Commerceの運用環境
- 侵害された店舗を閲覧する利用者
CVE-2026-48356、CVE-2025-54236（脆弱性情報一覧で確かめる）
Sansecは10月24日、Magentoを中心に953店舗へ不正なJavaScriptを読み込ませるコードが埋め込まれた攻撃を報告した。2025年7月から追跡する活動で、最新の接続先は83店舗のCMSブロックから見つかった。10月23日に確認した改変では、ブラウザーの特徴を調べ、買い物客と自動検査を振り分ける仕組みが加わった。[1]
過去の侵入にはPolyShellとSessionReaperが関係する。AdobeはPolyShellのCVE-2026-48356をCriticalとし、APSB26-73で修正を提供している。SessionReaperのCVE-2025-54236についても、カナダのサイバーセキュリティ当局が2025年10月に悪用情報と更新の必要性を公表した。両方の修正状況を、運用する製品とバージョンに合わせて照合する。[1][2][3]
企業の点検では、更新の適用と侵入後の痕跡調査を組み合わせる。Sansecは、更新済み店舗でも不正な管理者アカウントやバックドアを確認している。CMSの内容、管理者、アップロードされたファイルを調べ、侵入経路の除去後にデータベース・管理者・API連携の認証情報を変更することが重要になる。[1]
担当者が確かめること
- 運用台帳でMagento・Adobe Commerceのバージョンを確認し、APSB26-73とAPSB25-88の適用状況を照合する。
- 保守担当者がcms_blockとcms_pageを調べ、fpCodeやse_referrerを含む不審なコードと更新時刻を確認する。
- admin_userの未知のアカウント、アップロード領域の不審ファイル、見覚えのないプロセスを調査する。
- 侵入経路と不正コードを除去した後、データベース・管理者・API連携の認証情報を変更する。
SERVICE最新AIペネトレーションテスト悪用される前に、弱点を洗い出す。公開Web・API・クラウド・社内システムまで、合意した範囲だけを、攻撃者と同じ最新のAI攻撃ツールで試します。報告は今日直すものに絞って優先順位をつけ、修正後の再検証まで行います。
