ABSP26-73

2026年7月14日、AdobeよりAdobe CommerceおよびMagento Open Sourceに関する定期セキュリティアップデート「APSB26-73」が公開されました。

今回のアップデートには、CVSSスコア「10.0（最高深刻度）」となる任意コード実行（ACE）の脆弱性が含まれており、ECサイトの管理者やエンジニアにとって迅速な対応が求められる内容となっています。

本記事では、APSB26-73の概要、影響を受けるバージョン、主要な脆弱性の詳細、および推奨される対策手順を分かりやすく解説します。

1. APSB26-73 の概要

今回のセキュリティ情報「APSB26-73」の基本情報は以下の通りです。

項目 詳細
セキュリティバレット番号 APSB26-73
公開日 2026年7月14日
優先度 Priority 2（予防的更新を推奨）
対象製品 Adobe Commerce, Magento Open Source, B2B, Commerce Events
主なリスク 任意コード実行（ACE）、権限昇格、セキュリティ機能のバイパス
【現状のリスクとタイムリミット】
現時点では、本脆弱性を悪用した野良攻撃（Exploit in the wild）は報告されていません。しかし、セキュリティパッチが公開されたことで、攻撃者によるパッチの解析（Patch Diffing）が始まっています。数週間以内に自動スキャンや攻撃が本格化する可能性が高いため、早期のパッチ適用が極めて重要です。

2. 影響を受ける製品とバージョン

自社のECサイトが以下のバージョンに該当しているか、今すぐバージョン情報を確認してください。

影響を受ける主要バージョン一覧

  • Adobe Commerce / Magento Open Source

    • 2.4.9

    • 2.4.8-p5 およびそれ以前

    • 2.4.7-p10 およびそれ以前

    • 2.4.6-p15 およびそれ以前

    • 2.4.5-p17 およびそれ以前

    • 2.4.4-p18 およびそれ以前

  • Adobe Commerce B2B

    • 1.5.3, 1.5.2-p5 以前, 1.4.2-p10 以前, 1.3.4-p17 以前, 1.3.3-p18 以前

  • Adobe Commerce Events

    • 1.6.0 ～ 1.20.0

3. 注意すべき主要なCVE（脆弱性）

APSB26-73では複数の脆弱性が修正されていますが、特に注意すべきは以下の修正内容です。

① CVE-2026-48358（CVSSスコア: 10.0 – Critical）

  • 分類: 出力エンコーディングの不備（Webhooksコンポーネント）

  • 影響: 任意コード実行（ACE）

  • 危険性: 認証不要かつユーザー操作なしで実行可能な、最も深刻度が高い脆弱性です。攻撃者にサーバー上のフルアクセスを許してしまう危険があります。

② CVE-2026-48356（CVSSスコア: 9.6 – Critical）

  • 分類: 制限なしファイルアップロード

  • 影響: 権限昇格・不正ファイルの配置

  • 危険性: サーバー上に悪意あるスクリプトファイルをアップロードされるリスクがあります。

③ その他の脆弱性

  • CVE-2026-47994: Stored XSSによる権限昇格

  • CVE-2026-47988 / CVE-2026-47984: 不適切な認可制御によるセキュリティ機能バイパス

CVE-2026-48356については、CVE-2025-54236と同じくSessionReaperとなります。バッグドアを設置される可能施がある為ご留意ください。

4. 推奨される対策・修正パッチの適用手順

Adobeは、事業者が迅速に対応できるよう、フルマイグレーションを伴わない「Isolated Patch（分離パッチ）」も提供しています。

対策手順1：Isolated Patch（分離パッチ）の適用

フルバージョンアップ（Composer依存関係の更新など）に時間がかかる場合、修正対象のみをピンポイントで適用できるIsolated Patchの利用が最も効率的です。

  1. 使用しているMagentoのマイナーバージョンに対応するPatch ZIPファイルをダウンロード。

  2. 対象環境に配置し、専用コマンドにてパッチを適用。

  3. 開発・検証環境で動作確認を行った後、本番環境へ反映。

注意点

Isolated Patchを適用するには、事前に各系列の最新のセキュリティ専用パッチリリース（例: 2.4.6系列であれば 2.4.6-p15）が適用されている必要があります。

対策手順2：適用状態の検証（Commerce Version Tool）

Adobeは今回のアップデートにあわせ、適用状況を確認するための「Commerce Version Tool」を公開しています。

パッチ適用後、このツールを実行することで、必要な修正パッチが漏れなく反映されているか、対象のCVEが防御されているかを客観的に確認可能です。

対策手順3：クラウド環境（Adobe Commerce on Cloud）での対応

クラウド版を利用している場合は、Magento Cloud Patches を介して直接パッチを適用できます。手動でZIPファイルを解凍・配置する手間を減らし、より安全かつ迅速な対応が可能です。

5. まとめ

ECサイトのセキュリティ事故は、顧客情報の漏洩や売上機会の損失、ブランドイメージの低下に直結します。

  • CVSS 10.0の致命的な脆弱性が含まれている

  • 現在はまだゼロデイ攻撃のリスクが低い「安全な適用ウィンドウ期」

  • Isolated Patchを活用して速やかに修正を完了させる

サイト管理者の皆様は、至急運用チームや保守担当ベンダーと連携し、APSB26-73の適用スケジュールを確定させましょう。

私たち「Magento導入プロ集団」にお任せください

私たちは、単にシステムを構築するだけの開発会社ではありません。
Magento のポテンシャルを200%引き出し、貴社の売上成長 (グロース) とシステムの安全運用に伴走するビジネスパートナーです。

検討フェーズを問わず、以下のようなお悩みがあればいつでもご相談ください：

  • 「最新バージョンへのバージョンアップ作業、またはB2Bパッチとの兼ね合いが不安」
  • 「ミドルウェア（OpenSearch3やValkey）の刷新でサイトを高速化したい」
  • 「セキュリティを最新に保ちつつ、基幹システムとの連携を維持したい」

どんな些細な疑問でも構いません。まずは、私たちに貴社の「理想のECビジネス」をお聞かせください。
Magento がもたらす圧倒的な未来と安定性を、具体的にお話しさせていただきます。

あなたのビジネスの可能性と安全性を、Magentoとともに解き放ちましょう。

まずはお気軽にお問い合わせください！