Magentoの脆弱性CVE-2026-48356｜悪用確認、対象と修正パッチ

危険な種類のファイルのアップロードを適切に制限しない問題（CWE-434）です。Adobeの告知は影響を権限昇格とし、攻撃者の認証は不要としています。CVSS 3.1の基本値は9.6で、深刻度は緊急です。[1]

一方、採番者Adobeが登録したCVE記録は、現在の利用者の権限で任意のコードが実行され、アカウントやセッションの制御を奪われる可能性を説明しています。利用者が細工されたURLを訪れる、または改ざんされたページを操作することが必要です。同記録のCVSS 3.1は9.3で、可用性への影響をなし（A:N）とする点が、告知の低（A:L）と異なります。[2]

対象はAdobe Commerce、Adobe Commerce B2B、Magento Open Source、Adobe Commerce Eventsです。APSB26-73の製品別の影響範囲を下表で確認してください。Magento Open Sourceの表には、Commerceの2.4.5・2.4.4系列は掲載されていません。記載がない系列を対象外と断定せず、利用製品のサポート情報で確認します。[1]

Adobeの修正手引きは、CommerceのCloud infrastructureとオンプレミス、およびMagento Open Sourceを扱っています。クラウド環境でも、cloud-patchesによる修正が適用されているかの確認が必要です。[4]

米CISAはCVE-2026-48356を2026年10月27日にKEVへ追加しました。ランサムウェアでの利用はUnknownとされており、ランサムウェア被害を確認したという意味ではありません。[3]

確認したAdobe告知は2026年7月14日公表、8月11日更新で、対象の問題について実際の悪用を把握していないと記載しています。10月のKEV追加をAdobe自身の悪用確認として読み替えません。[1]

CVE記録では、利用者が細工されたURLを訪れたり、改ざんされたWebページを操作したりすることが成立条件です。ECサイトの外部公開の有無だけで判断せず、対象製品のバージョンと修正パッチの適用状況を確認します。攻撃者のログインは必要とされていません。[2]

Commerce・B2B・MagentoはAPSB26-73に記載された各系列の2026-jul修正、Commerce Eventsは1.21.0が修正版です。下表はAdobe告知の製品別表に従っています。[1]

Commerce Eventsについて、CVE記録の機械可読な影響範囲は0〜1.20.0、Adobe告知は1.6.0〜1.20.0と異なります。1.6.0より前を利用している場合は、この差を含めて提供元へ確認してください。[2]

2026-julという表記だけを見て、同名のComposerパッケージへ更新できると判断しないでください。Adobeの手引きは、7月の独立したセキュリティ修正はIsolated patchファイルとして提供すると説明しています。[4]

Adobeの公開手引き「Security update available for Adobe Commerce - APSB26-73」で、利用中の系列に合うパッチと前提バージョンを確認します。たとえば2.4.8系列は2.4.8-p5、2.4.7系列は2.4.7-p10、2.4.6系列は2.4.6-p15を前提に、対応する独立パッチを適用します。[4]

ZIPにはCE・EE・B2Bなど構成部品ごとのファイルが含まれます。導入済みの各構成部品とバージョンに合うファイルを選び、手引きから参照されるパッチ適用手順に従います。月次のセキュリティパッチは累積ではなく、順序どおりの適用が必要です。[4]

適用後は、CEパッチに含まれるCommerce Version Toolで、インストール済み・不足している月次パッチと、対応済みのCVEを確認します。Cloud infrastructureではcloud-patchesで修正済みの場合に独立パッチを重ねると失敗することがあるため、先に適用状況を確認します。[4]

確認したAdobe告知には、この脆弱性を設定変更だけで回避する方法の記載がありません。Adobeは速やかなセキュリティ更新を推奨しています。[1]

Adobeは、統合上の問題で対応が遅れるリスクを減らすため独立パッチを提供しています。適用に問題がある場合は、利用製品・系列・構成部品とAPSB26-73を伝えてSupport Servicesへ相談します。独立パッチも修正の適用であり、修正を不要にする回避策ではありません。[4]