【緊急】3ヶ月連続AdobeパッチAPSB26-146／138公開！ゼロデイ攻撃の危険と即時対策

2026年7月（APSB26-73）、8月（APSB26-92）に続き、2026年9月にもAdobeよりAdobe CommerceおよびMagento Open Sourceを対象としたセキュリティアップデート「APSB26-138」および「APSB26-146」が公開されました。これにより、3ヶ月連続でのパッチ適用が必要な状況となっています。

本記事では、今回公開された2つのセキュリティ情報の概要や対象バージョン、特に注意すべき「ゼロデイ脆弱性」のリスク、そして過去リリース同様に安全かつ迅速に適用するための「分割パッチ（スライス適用）」手順について解説します。

1. APSB26-138 および APSB26-146 の概要

今回公開されたセキュリティ情報「APSB26-138」および「APSB26-146」の基本情報は以下の通りです。

2. 影響を受ける製品とバージョン

自社のECサイトが以下のバージョンに該当しているか、今すぐバージョン情報を確認してください。

影響を受ける主要バージョン一覧

※2026年9月公開の最新パッチ（APSB26-138 / APSB26-146適用済み）または上位バージョンを除き、全ての運用環境で対応が必要です。

修正される主な脆弱性

• テンプレート処理およびCMS等におけるリモートコード実行（RCE）の脆弱性（CVE-2026-75650等）
• 権限のないユーザーによる管理機能へのアクセス制御回避（Bypass）
• 顧客情報・システム内部構造の漏洩につながるセキュリティホール

3. パッチ適用時の注意点と「分割パッチ（スライス適用）」のおすすめ

フルバージョンアップを行う場合、影響範囲の調査や機能検証に数週間〜数ヶ月の期間が必要となり、現在進行中のゼロデイ攻撃に対して防御が間に合わないリスクがあります。

また、公式の総合パッチをそのまま一括適用すると、既存のカスタマイズやサードパーティ製モジュールとの競合が発生し、デプロイエラーとなるケースが多発します。

そのため、7月・8月のリリース時と同様に、修正が必要なモジュール単位（module-cms, module-email, module-backend 等）に**パッチを分割して個別に適用する「スライス適用（ホットフィックス方式）」**が最も確実かつ迅速なアプローチとなります。

• magento/module-cms
• magento/module-email
• magento/module-backend

4. パッチの適用手順（Composerパッチ方式）

開発・運用環境において、cweagans/composer-patches を使用し、9月リリースの分割パッチを追加適用する手順の例です。

1. パッチファイルの配置

分割抽出したパッチファイル（例: APSB26-146-module-cms.patch 等）をプロジェクト内の patches/composer/ ディレクトリに配置します。

2. composer.json への定義追加

composer.json の extra.patches セクションに対象モジュールと9月パッチのパスを記述します。

{
    "extra": {
        "patches": {
            "magento/module-cms": {
                "Fix APSB26-146 module-cms issue": "patches/composer/APSB26-146-module-cms.patch"
            },
            "magento/module-email": {
                "Fix APSB26-138 module-email issue": "patches/composer/APSB26-138-module-email.patch"
            },
            "magento/module-backend": {
                "Fix APSB26-138 module-backend issue": "patches/composer/APSB26-138-module-backend.patch"
            }
        }
    }
}

3. パッチの適用と動作確認

コマンドラインで依存関係を再構築し、パッチを適用します。

composer install

適用後、静的ファイルのデプロイやDIコンパイルを実行し、コンパイルエラーがないこと、および主要機能（決済、会員登録、お問い合わせ等）が正常動作することを確認します。

bin/magento setup:di:compile
bin/magento setup:static-content:deploy -f
bin/magento cache:flush

5. まとめ

セキュリティパッチ「APSB26-138」および「APSB26-146」は、ECサイトの安全を守るために今すぐ対応が必要な超重要アップデートです。

• APSB26-146はゼロデイ攻撃が確認されており、即時対応が不可欠
• 3ヶ月連続のパッチリリースとなるため、保守運用プロセスの効率化が重要
• 競合やテストコストを抑えるため、分割パッチ（スライス適用）での対応を推奨

サイト管理者の皆様は、至急運用チームや保守ベンダーと連携し、9月パッチの適用を行ってください。