Magento脆弱性CVE-2026-48356——CISAが悪用確認、ECサイト今すぐやること

CVE-2026-48356 とは——何が起き、今なぜ重要か

2026年7月14日、Adobeはセキュリティ告知APSB26-73を公開し、Adobe CommerceおよびMagento Open Sourceに存在する深刻な脆弱性CVE-2026-48356の修正版を提供した。脆弱性の種類はCWE-434（危険な種類のファイルを無制限にアップロードできる問題）で、悪用に成功した攻撃者は現在のユーザー権限で任意のコードを実行し、アカウントやセッションの上位権限を取得できる可能性がある。

CVSSスコアはCritical。CVE公式記録（Adobe＝CNA）は9.3、Adobe告知の表では9.6と食い違いがある。いずれの資料でも認証は不要（PR:N）、ネットワーク経由（AV:N）、ユーザー操作が必要（UI:R）という点は共通している。

当初、Adobeの告知（2026年8月11日最終更新）は「この更新で対処した問題の悪用を把握していない」と記していた。しかしその後、状況は変わった。2026年10月27日、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は、CVE-2026-48356を「悪用が確認された脆弱性」カタログ（Known Exploited Vulnerabilities、以下KEV）に追加した。KEVへの掲載は「実際の攻撃での悪用を確認した」ことを意味する。対処期限は2026年11月10日（米連邦政府機関向けの義務期限。民間企業に法的義務はないが、緊急度の目安として参照できる）。

2026年10月30日時点で確認できた範囲では、JPCERT/CCやIPAによる本件に関する注意喚起は見当たらない。国内への波及を待つ理由はなく、CISA KEV掲載の時点で即時対応に動くことが求められる。

関連記事ラテラルムーブメントとは？手口・ツール・対策は？ ／ GitLab脆弱性、自社運用は今何を？

CVE-2026-48356 が影響するバージョンと修正版の対照

下表は、Adobe告知APSB26-73およびCVE公式記録に基づく影響バージョンと修正版の対照である。自社のストアが使用しているバージョンとB2B・Commerce Eventsの利用有無を照合してほしい。

表1: CVE-2026-48356 の影響バージョンと修正版（出典: APSB26-73 / CVE公式記録）

製品	影響するバージョン	修正版（パッチ名）
Adobe Commerce	2.4.9、2.4.8-p5以前、2.4.7-p10以前、2.4.6-p15以前、2.4.5-p17以前、2.4.4-p18以前	各系統の 2.4.x-2026-jul
Adobe Commerce B2B	1.5.3、1.5.2-p5以前、1.4.2-p10以前、1.3.4-p17以前、1.3.3-p18以前	各系統の 1.x.x-2026-jul
Magento Open Source	2.4.9、2.4.8-p5以前、2.4.7-p10以前、2.4.6-p15以前	各系統の 2.4.x-2026-jul
Adobe Commerce Events	1.6.0〜1.20.0	1.21.0

※ パッチレベル（-p5、-p10 など）だけを見て安否を判断してはならない。2.4.9は最新バージョンだが同様に対象である。また、2.4.5以前のMagento Open Sourceは告知の対象表に掲載されていないため、Adobeに直接確認することを推奨する。

修正はIsolated patch（個別パッチ）のみで提供され、Composerパッケージとしては公開されていない（Adobe Experience League KB、KA-37421）。そのため、composer.lockの内容だけではパッチの適用状況を確認できない。制作会社が複数ストアを管理している場合、この点は特に注意が必要だ。

攻撃の実態——Sansecが観測した侵害の連鎖

セキュリティ企業Sansecは2026年10月24日、同一の攻撃者によるストア侵害の調査記事を公開した（記事はCVE-2026-48356を、攻撃者がWebシェルをアップロードした手段として挙げている）（出典: sansec.io/research/magento-cms-block-loader-deepveindrilling）。同社はこの脆弱性を「PolyShell」と呼んでいるが、Adobe告知やCISAの記録にこの呼称はなく、あくまでSansecによる命名である。

Sansecの観測によれば、PolyShell経由の大規模な攻撃の波が2026年3月に確認されており、これはAdobeが修正を公開した7月14日より前である。2026年3月30日の攻撃では、Webシェルのアップロードから始まり、1時間で471店舗にJavaScriptのローダーが注入されたと同社は報告している（出典: sansec.io/research/polyshell-mass-attack-wave）。同社が2025年7月から追跡している同一攻撃者によるローダー注入の累計は953店舗に及ぶとされる。この累計は当該脆弱性単独の被害件数ではなく、同一攻撃者のキャンペーン全体の集計である。

攻撃のパターンは「Webシェルアップロード → バックドア設置（accesson.php）→ CMSブロックへのJavaScript注入」という形で自動化されていた。注入されたJavaScriptはストア閲覧者のブラウザから攻撃者のサーバーに接続させる。Sansecは「ローダーのスクリプトを削除しても、攻撃者のアクセス手段は残る」と強調しており、スクリプトの除去だけでは対処にならない。

なお、CISA KEVの記録では本件のランサムウェアへの利用は「Unknown（不明）」とされており、現時点では断定できない。

今すぐ運営者がとるべき対応——バージョン確認からパッチ適用・侵害確認まで

CISA KEVへの追加は、民間企業に法的義務を課すものではない。しかし掲載の意味は明確で、実際の攻撃での悪用がCISAによって確認された状態を指す。対処期限として示された2026年11月10日を一つの目安として、以下のステップを進めることが現実的な判断となる。

ステップ1：バージョンと拡張機能の確認
管理画面または環境の版表示で、Adobe Commerce / Magento Open Sourceのバージョン（2.4.x-pN）を確認する。B2BモジュールとCommerce Eventsを使用しているかも併せて確認する。

ステップ2：7月のパッチ（APSB26-73、2.4.x-2026-jul）が入っているかを確認する
Adobe Commerce on Cloud（クラウド環境）の場合、Quality Patches Toolで vendor/bin/magento-patches -n status を実行し、対象パッチのステータスが「Applied」になっているかを確認する（Adobe KB、KA-37421）。クラウド以外（オンプレミス・Magento Open Source）の場合、Commerce Version Toolを使って適用済みパッチとCVEの対応状況を確認する。

ステップ3：未適用であれば即時適用する
クラウド環境は cloud-patches を最新に更新する。その上にIsolated patchを重ねると導入に失敗する可能性があるため、重ねない。オンプレミスは各系統の最新の-pリリースに更新した上で、自分のバージョンに対応するZIP（例: 2-4-8-p5-jul-2026.zip）を適用する。パッチは順番に適用する必要がある。2.4.5と2.4.4は適用にComposerキー（公開キー=ユーザー名、秘密キー=パスワード）が必要になる。適用手順はAdobe Experience League KB（KA-37421）の指示に従う。

ステップ4：侵害の痕跡を確認する
Sansecの観測では、大規模な攻撃の波は修正の公開（2026年7月）より前の3月に起きている。パッチを適用していても、それ以前にストアが侵害を受けた可能性は残る。Sansecが推奨する確認箇所は以下のとおり（出典: sansec.io/research/magento-cms-block-loader-deepveindrilling）。

• データベースの cms_block と cms_page の内容と更新日時（update_time）に不審な変更がないか
• pub/media/custom_options/ と pub/media/customer_address/ に見覚えのないファイルがないか
• accesson.php という名前のファイルが存在しないか
• admin_user テーブルに見覚えのない管理者アカウントがないか

不審な点が見つかった場合、スクリプトや不審ファイルを削除するだけで完結させてはならない。侵害されたものとして扱い、データベース・管理者・API連携のパスワードをすべて変更する。侵害の痕跡（IOC）の具体的な文字列やドメイン名はSansecの調査記事に記載されており、そちらを参照してほしい。

制作会社・開発パートナーへ
運用を請け負う全ストアについて上記1〜3の棚卸しを行う。composer.lockだけではIsolated patchの適用状況は分からない。個別に確認ツールを使う必要がある。

Magento Open Source 2.4.5以前を使用している場合
Adobe告知の対象表にこれらのバージョンは記載されていない。「対象外だから安全」と解釈せず、Adobeの案内を直接確認し、サポートされるバージョンへの移行計画を立てることを検討する。

---

参考文献

• CVE公式記録 CVE-2026-48356（CNA: Adobe）— https://www.cve.org/CVERecord?id=CVE-2026-48356
• Adobe セキュリティ告知 APSB26-73 — https://www.adobe.com/trust/security/products/commerce/apsb26-73.html
• Adobe helpx APSB26-73（同内容） — https://helpx.adobe.com/security/products/magento/apsb26-73.html
• Adobe Experience League KB KA-37421「Security update available for Adobe Commerce – APSB26-73」— https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-37421
• CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48356
• Sansec「Magento CMS Block Loader DeepVeinDrilling」（2026-10-24）— https://sansec.io/research/magento-cms-block-loader-deepveindrilling
• Sansec「PolyShell Mass Attack Wave」（2026-03-30）— https://sansec.io/research/polyshell-mass-attack-wave