【緊急】Magento/Adobe Commerceセキュリティ情報「APSB26-92」が公開！脆弱性の影響と分割パッチでの対策まとめ

APSB26-92

2026年8月にAdobeより、Adobe CommerceおよびMagento Open Sourceを対象としたセキュリティアップデート「APSB26-92」が公開されました。

本記事では、今回の脆弱性の概要や対象バージョン、パッチ適用時に発生しやすい問題と具体的な対応手順について解説します。

1. APSB26-92 の概要

今回のセキュリティ情報「APSB26-92」の基本情報は以下の通りです。

2. 影響を受ける製品とバージョン

自社のECサイトが以下のバージョンに該当しているか、今すぐバージョン情報を確認してください。

影響を受ける主要バージョン一覧

※すでに最新版へバージョンアップ済み、または個別にセキュリティパッチ（Quality Patches）を適用している場合を除き、早期のパッチ適用が必要です。

影響を受ける主な脆弱性

• CMSモジュールにおける入力バリデーションの不備
• Customer（顧客）モジュールにおけるアクセス制御・データ処理の不備
• Review（レビュー）モジュールにおける処理上の脆弱性

3. パッチ適用時の注意点と「分割パッチ」の必要性

公式から提供されている単一の大きなパッチファイルをそのまま適用しようとすると、既存のカスタマイズやサードパーティ製モジュールとの競合が発生し、デプロイ時にエラーとなるケースがあります。

特に以下のモジュールにカスタマイズが入っている環境では、競合を避けるためにパッチをモジュール単位（module-cms, module-customer, module-review）に分割して適用する手法が有効です。

• magento/module-cms
• magento/module-customer
• magento/module-review

4. パッチの適用手順（Composerパッチ方式）

開発・運用環境において、cweagans/composer-patches を使用して分割パッチを適用する手順の例です。

1. パッチファイルの配置

分割したパッチファイル（例: APSB26-92-module-cms.patch 等）をプロジェクト内の patches/composer/ ディレクトリに配置します。

2. composer.json への定義追加

composer.json の extra.patches セクションに対象モジュールとパッチのパスを記述します。

{
    "extra": {
        "patches": {
            "magento/module-cms": {
                "Fix APSB26-92 module-cms issue": "patches/composer/APSB26-92-module-cms.patch"
            },
            "magento/module-customer": {
                "Fix APSB26-92 module-customer issue": "patches/composer/APSB26-92-module-customer.patch"
            },
            "magento/module-review": {
                "Fix APSB26-92 module-review issue": "patches/composer/APSB26-92-module-review.patch"
            }
        }
    }
}

3. パッチの適用と動作確認

コマンドラインで依存関係を再構築し、パッチを適用します。

composer install

適用後、静的ファイルのデプロイやDIコンパイルを実行し、エラーが発生しないこと・管理画面およびフロントエンドの主要機能（ログイン、購入、レビュー投稿等）が正常に動作することを確認します。

bin/magento setup:di:compile
bin/magento setup:static-content:deploy -f
bin/magento cache:flush

5. まとめ

セキュリティパッチ「APSB26-92」は、ECサイトの安全な運用を維持するために非常に重要なアップデートです。

• RCE等の深刻な脆弱性が含まれているため早期対応が必要
• 既存のカスタマイズとバッティングする場合は分割パッチの活用が有効
• 適用後は主要機能の動作検証を徹底して本番反映を行う

サイト管理者の皆様は、至急運用チームや保守担当ベンダーと連携し、APSB26-92の適用スケジュールを確定させましょう。