米CISA(サイバーセキュリティ・インフラセキュリティ庁)は、Adobe CommerceおよびMagentoに存在する脆弱性「CVE-2026-48356」を、実際に悪用が確認された脆弱性として管理する「Known Exploited Vulnerabilities(KEV)カタログ」に2026年10月27日付で追加しました。この脆弱性は「危険な種類のファイルの無制限アップロード」に関するもので、悪用されると現在のユーザー権限の文脈で任意のコードを実行され、アカウントやセッションへの不正アクセス・制御を許す可能性があります。Adobe Commerce/Magentoを運用しているECサイト運営者・開発者・インフラ管理者は、本記事の対策手順を確認し、速やかに対応することが求められます。特にECサイトは決済情報や顧客の個人情報を扱うことが多く、侵害が発生した場合の被害範囲が広がりやすい点にも注意が必要です。
脆弱性の概要と影響を受ける製品
CISAのKEVカタログに記載された公式情報をもとに、本脆弱性の概要を以下の表に整理します。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-48356 |
| ベンダー | Adobe |
| 製品 | Commerce and Magento |
| 脆弱性名 | Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability |
| CWE分類 | CWE-434(危険な種類のファイルの無制限アップロード) |
| KEVカタログ追加日 | 2026年10月27日 |
| 米連邦機関の対応期限 | 2026年11月10日 |
| ランサムウェアでの悪用 | 不明(現時点で確認されていない) |
影響を受ける具体的なバージョン範囲については、公式情報には明記されていません。詳細はベンダーのセキュリティアドバイザリ(APSB26-73)を確認してください。Adobe Commerce/Magentoは世界中の多数のECサイトで利用されている基盤であり、同様のコマース系プラットフォームで過去にもファイルアップロード機能を起点とした脆弱性が繰り返し報告されてきた経緯があります。そのため、該当製品を利用している組織は、自社環境がバージョン確認の対象であるかどうかを後回しにせず優先的に調査することが重要です。
深刻度と悪用状況
本脆弱性のCVSS 3.1スコアは9.3(CRITICAL)で、ベクトルはCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Nです。攻撃元区分がネットワーク(AV:N)、攻撃条件の複雑さが低い(AC:L)、必要な権限なし(PR:N)である一方、ユーザー操作(UI:R)が求められる点が特徴です。機密性(C:H)・完全性(I:H)への影響が「高」と評価されており、悪用に成功すると攻撃者がシステムやデータを広範囲に侵害できる可能性があります。また、スコープが変化する(S:C)と評価されている点にも注目すべきです。これは、脆弱な箇所そのものを超えて、別の権限範囲のコンポーネントにも影響が及び得ることを意味し、攻撃が成功した場合の被害がアプリケーション単体にとどまらない可能性を示しています。
何より重要なのは、本脆弱性がCISAのKEVカタログに掲載されているという事実です。これは「理論上の脆弱性」ではなく、実際の攻撃で悪用が確認されていることを意味します。CISAは米連邦機関に対し2026年11月10日までの対応を義務付けており、一般の事業者であってもこの期限を一つの基準として対応を急ぐべきです。KEVカタログに掲載される脆弱性は、CVSSスコアの高さだけでなく「実際に悪用された証拠がある」という点が追加要件になっているため、攻撃者コミュニティにおいて既に攻撃手法が確立・共有されている可能性が高いと考えるべきです。
ファイルアップロード脆弱性(CWE-434)が危険な理由
本脆弱性が分類されるCWE-434は、Webアプリケーションがユーザーからのファイルアップロードを受け付ける際に、拡張子・MIMEタイプ・ファイル内容などの検証が不十分であることに起因する脆弱性カテゴリです。一般的に、この種の脆弱性では、画像ファイルなどを装ってWebシェルやスクリプトファイルをサーバー上にアップロードされ、そのファイルがWebサーバー経由で実行可能な場所に配置されることで、攻撃者が任意のコードを実行できる状態に陥ります。ECサイトの管理画面やカスタマイズ機能は、商品画像やCSVファイルのインポートなど、ファイルアップロードを伴う機能を多く備えているため、こうした経路が攻撃の入口になりやすい点が特徴です。CWE-434に分類される脆弱性全般への対策としては、アップロード可能な拡張子のホワイトリスト化、アップロードディレクトリでのスクリプト実行禁止設定、ファイル内容の検証(マジックバイトのチェックなど)が一般的に推奨されています。
ベンダーはどんな修正を行ったか
Adobeは本脆弱性に対応するセキュリティアドバイザリ「APSB26-73」を公開しています。修正の具体的なコード内容や対象バージョン、パッチの詳細な仕組みについては公式情報に記載がないため、詳細はベンダーのセキュリティアドバイザリを確認してください。
一般に、ファイルアップロード機能に関する脆弱性(CWE-434)は、アップロードされるファイルの種類・拡張子・内容の検証が不十分な場合に発生します。ベンダーが提供するアップデートを適用することで、この検証処理が強化されると考えられますが、具体的な修正内容はアドバイザリ本文で確認する必要があります。パッチ適用にあたっては、カスタマイズされたモジュールや拡張機能との互換性に問題が生じるケースもあるため、本番環境へ適用する前に必ずステージング環境で動作確認を行うことが望まれます。
今すぐやるべき対策手順
Adobe Commerce/Magentoを運用している場合、以下の手順で対応を進めてください。
- 手順1: バージョン確認 — 管理画面またはComposerの依存関係情報から、現在使用しているAdobe Commerce/Magentoのバージョンを確認します。
- 手順2: アドバイザリの確認 — Adobe公式のセキュリティアドバイザリ「APSB26-73」(https://www.adobe.com/trust/security/products/commerce/apsb26-73.html)で、自社のバージョンが対象かどうか、修正バージョンは何かを確認します。
- 手順3: アップデートの適用 — 対象であれば、検証環境でアップデートを適用し、動作確認後に本番環境へ展開します。
- 手順4: 回避策(緩和策)の検討 — すぐにアップデートできない場合は、WAF(Web Application Firewall)によるファイルアップロード経路の監視・制限、不要な管理画面やアップロード機能への外部アクセス制限など、インターネットへの露出を減らす対応を検討します。CISAはBOD 26-04の方針に沿った緩和策の実施、または緩和策が利用できない場合は製品の利用中止を求めています。
- 手順5: 侵害有無の確認 — アップロードディレクトリへの不審なファイル配置、管理ユーザーの不正なログイン履歴、Webサーバー・アプリケーションログの異常なアクセスパターンなどを確認します。CISAの「フォレンジック・トリアージ要件」も参考にしてください。
- 手順6: 関係者への情報共有 — 社内のインフラ担当者・開発ベンダー・セキュリティ担当部門に本脆弱性の存在と対応期限を共有し、対応状況を一元的に管理できる体制を整えます。複数システムでAdobe Commerce/Magentoを運用している組織では、対応漏れが生じやすいため、棚卸しリストを作成して進捗を追跡することが有効です。
よくある質問
Q1. CVSSスコアが9.3というのはどれくらい危険なのですか?
A1. CVSS 3.1における9.3は「CRITICAL(緊急)」レベルに分類され、スコア範囲(0〜10)の中でも最上位に近い深刻度です。本脆弱性は機密性・完全性への影響が高く評価されており、早急な対応が推奨されます。
Q2. すでに攻撃を受けているかどうか、どう判断すればいいですか?
A2. 公式情報には具体的な侵害の痕跡(攻撃シグネチャ等)は記載されていません。アップロード関連ディレクトリの不審なファイル、管理アカウントの異常なログイン、ログの不審なアクセスなどを確認し、懸念がある場合はベンダーのアドバイザリやフォレンジック専門家への相談を検討してください。
Q3. 米連邦機関向けの対応期限(2026年11月10日)は、民間企業にも適用されますか?
A3. この期限はCISAの指令であるBOD 26-04に基づき米連邦政府機関を対象としたものであり、民間企業に法的拘束力はありません。しかし、KEVカタログに掲載されるということは実際に悪用が確認されている脆弱性であるため、民間企業であっても同じ期限を目安として優先的に対応することが強く推奨されます。
まとめ
CVE-2026-48356は、CVSSスコア9.3の緊急性の高いAdobe Commerce/Magentoの脆弱性であり、CISAのKEVカタログに実際の悪用が確認された脆弱性として掲載されています。米連邦機関の対応期限は2026年11月10日と設定されており、これは一般の事業者にとっても対応を急ぐべき強い指標です。まずは自社のバージョンを確認し、Adobeのセキュリティアドバイザリ「APSB26-73」に従ってアップデートを適用、難しい場合は緩和策とログ確認を直ちに実施しましょう。
