Adobeは、Adobe CommerceとMagento Open Sourceに影響するCVE-2026-75650について、緊急ホットフィックスを公開しました。
認証なしで任意コードを実行されるおそれがあり、実際の攻撃も確認されています。
運用担当者は、修正の適用だけで作業を終えず、侵害の有無を調べたうえで、暗号化キーと関連する認証情報を更新する必要があります。
実悪用が確認されたCVE-2026-75650
Adobeのセキュリティ情報APSB26-146は、CVE-2026-75650を深刻度Critical、CVSS基本値10.0と評価しています。
脆弱性はテンプレートエンジンで特殊な要素を適切に無害化できない問題に分類され、ネットワーク越しに認証や利用者の操作なしで悪用される可能性があります。
悪用に成功すると、影響を受ける環境で任意コードを実行されるおそれがあります。
| 確認項目 | 公表内容 |
|---|---|
| 脆弱性識別子 | CVE-2026-75650 |
| 公表日 | 2026年9月7日 |
| 影響 | 任意コード実行 |
| 認証 | 不要 |
| 深刻度 | Critical、CVSS 3.1で10.0 |
| 悪用状況 | Adobeが実環境での悪用を確認 |
米CISAの既知の悪用された脆弱性カタログにも9月8日付で追加され、米連邦政府機関向けの対応期限は9月11日とされています。
この期限は日本の企業に直接適用されるものではありませんが、悪用の事実を踏まえた対応優先度の目安になります。
影響を受ける製品と版
Adobeが示した影響範囲は、次の製品系列です。
- Adobe Commerce 2.4.4から2.4.9までの各系列について、2026年8月版およびそれ以前
- Adobe Commerce B2B 1.3.3から1.5.3までの各系列について、2026年8月版およびそれ以前
- Magento Open Source 2.4.6から2.4.9までの各系列について、2026年8月版およびそれ以前
製品名だけで対象外と判断せず、稼働中の版とパッチレベルをAdobeの緊急対応ガイドにある対応表と照合してください。
同じ系列でも版によって適用するパッチファイルが異なるため、別の版向けファイルを流用するのは避けます。
攻撃について判明していること
脆弱性を報告したSansecは、この攻撃を「StyleSmuggler」と呼び、9月4日から悪用を観測したと調査報告で説明しています。
同社によると、攻撃者はテンプレート処理へPHPコードを混入させ、決済失敗メールの生成処理などを通じてコードを実行させます。
侵害後には、正規のシステム処理に見せかけたバックドアやPHPのWebシェルが確認され、攻撃側は短期間に手法を変えていると報告されています。
ただし、攻撃開始日、手口、侵害指標の詳細はSansecの観測に基づく速報的な調査結果です。
すべての被害環境で同じ経路や不正ファイルが使われたと断定することはできません。
管理者が進める対応手順
1．対象資産と公開範囲を確認する
本番、検証、災害復旧用を含め、Adobe CommerceとMagento Open Sourceを動かしている環境を洗い出します。
インターネットから到達できる環境、管理画面、GraphQLやRESTの接続先、決済や配送などの外部連携を同じ台帳にまとめると、対応漏れを減らせます。
2．証拠を保全してから保守作業へ移る
不審な挙動がある場合は、ログ、稼働中のプロセス、cron設定、最近変更されたファイル、管理者操作の記録を保全します。
先にファイルを削除したりサーバーを初期化したりすると、侵入経路や漏えい範囲を追えなくなるためです。
被害が疑われる環境は外部公開を制限し、責任者、保守会社、決済事業者、法務や広報の連絡経路も確保します。
3．対応するVULN-39341パッチを適用する
Adobeの対応表から稼働版に合うVULN-39341のパッチを選び、事前検証のうえで適用します。
Adobe Commerce on Cloudでは、公式ガイドがQuality Patches Toolを使った適用状態の確認方法を示しています。
vendor/bin/magento-patches -n status | grep "39341\|Status"この確認手順はCloud環境向けです。
オンプレミス環境では、適用したパッチファイル、変更内容、アプリケーションの起動状態、注文と決済の動作を運用手順に従って確認します。
4．侵害の有無を調べる
パッチは新たな悪用経路を閉じますが、すでに設置されたバックドアを削除する処置ではありません。
Sansecが随時更新する侵害指標を参照し、見慣れない常駐プロセス、cron登録、テンプレート関連のエラーレポート、PHPファイル、外部通信を調べます。
一つのファイル名やIPアドレスが見つからないだけで「侵害なし」とは判断せず、Web、OS、データベース、管理画面、外部連携の記録を時系列で突き合わせます。
5．暗号化キーと関連資格情報を更新する
Adobeは、パッチ適用後にCommerceの暗号化キーをローテーションし、そのキーで保護されていた可能性のある資格情報も発行元で更新するよう案内しています。
- 管理画面の利用者パスワード
- REST、SOAP、GraphQLの連携トークン
- OAuthクライアントシークレット
- 決済代行会社のAPI資格情報
- データベースの資格情報
- SSH鍵、デプロイ鍵、cronやサービスアカウントの資格情報
- 配送、税計算、その他の拡張機能で使うAPIキー
暗号化キーだけを替えても、攻撃者がすでに取得したトークンや外部サービスの資格情報は失効しません。
外部サービス側で古い資格情報を無効化し、新しい値へ更新したことまで確認します。
EC運営で避けたい三つの誤解
ホットフィックスを入れれば調査は不要か
不要にはなりません。
Adobeが実悪用を認め、Sansecが修正公開前からの攻撃を報告しているため、対象環境ではパッチ適用前の侵害可能性を調べる必要があります。
WAFがあれば安全と言い切れるか
言い切れません。
WAFの検知や遮断は防御の一部ですが、新しい変種や別経路まで常に止められる保証はありません。
製品の修正、公開範囲の制限、侵害調査、資格情報の更新を組み合わせます。
停止時間を短くするため調査を後回しにしてよいか
復旧を急ぐ必要はありますが、証拠を残さず再開すると、残存するバックドアや流出済みの資格情報から再侵入されるおそれがあります。
技術担当だけで判断せず、注文、決済、顧客対応への影響を整理し、保全、封じ込め、修正、確認、再開の責任者を決めます。
担当者が持ち帰る判断
CVE-2026-75650への対応は、ホットフィックスの適用だけでは完了しません。
対象版を照合し、証拠を保全し、侵害を調べ、暗号化キーと外部連携を含む資格情報を更新するところまでが一続きの作業です。
EC基盤は、注文、顧客情報、決済、配送が複数のサービスをまたいで動きます。
平時から資産台帳、連絡先、ログの保存期間、鍵の更新手順を整えておけば、緊急修正の局面でも停止時間と再侵入のリスクを分けて判断できます。
参照した一次情報と調査資料
- Adobe「Security update available for Adobe Commerce | APSB26-146」
- Adobe Commerce「Urgent Action Required: Critical Security Update Available for Adobe Commerce」
- Sansec「StyleSmuggler: Magento and Adobe Commerce 0-day RCE under active attack」
- CISA「Known Exploited Vulnerabilities Catalog」
- 株式会社greeden公式サイト
この記事に関連する株式会社greedenの取り組み
EC基盤の緊急対応では、修正と認証情報の更新、再発防止を一つの運用にまとめる必要があります。株式会社greedenは、Webシステム開発を要件定義からテスト、保守改善まで一気通貫で支援します。