Magentoの深刻な脆弱性CVE-2025-54236（SessionReaper）

Magento Open SourceおよびAdobe Commerceにおいて、極めて深刻な脆弱性「CVE-2025-54236」（通称：SessionReaper）が公開され、現在すでにこの脆弱性を狙った自動化された攻撃が世界中で広く観測されています。

CVSSのベーススコアは「9.1（クリティカル）」と評価されており、認証されていない攻撃者がREST APIを通じてセッションを乗っ取り、最終的にサーバーの完全な制御（リモートコード実行）を得る危険性があります。

本記事では、この脆弱性の詳細と影響を受けるバージョン、そして今すぐ実行すべき対策と監査方法について解説します。

1. 脆弱性「CVE-2025-54236」の概要

  • 通称: SessionReaper

  • 脆弱性の種類: 不適切な入力検証（Improper Input Validation）

  • CVSS スコア: 9.1（CRITICAL / 緊急）

  • 公開日: 2025年9月9日（Adobeより緊急パッチ公開）

  • セキュリティ情報: APSB25-88

この脆弱性は、MagentoのREST APIにおけるネストされたデシリアライズ処理の不具合に起因しています。悪意のあるセッションファイルと組み合わせることで、攻撃者はユーザーの操作（クリックなど）や認証を一切必要とせず、システムの乗っ取りや任意のコード実行（RCE）を行うことが可能です。

2. 影響を受けるプロダクトとバージョン

以下のバージョン（およびそれ以前のバージョン）を利用している環境は、直ちに対応が必要です。

【対象プロダクト】

  • Adobe Commerce

  • Magento Open Source

【影響を受ける主なバージョン】

  • 2.4.8-p2 以下

  • 2.4.7-p7 以下

  • 2.4.6-p12 以下

  • 2.4.5-p14 以下

  • 2.4.4-p15 以下

※クラウド版、オンプレミス版の双方に影響します。

3. どのような被害が想定されるか？

この脆弱性（SessionReaper）が悪用された場合、ECサイトにとって致命的な被害をもたらします。

  • カスタマーアカウントの乗っ取り: 攻撃者が顧客のアカウントに不正アクセスすることが可能になります。

  • サーバーの完全な制御（RCE）: 悪意のあるPHPバックドアがサーバーに設置され、システム全体が掌握されます。

  • 情報漏洩のリスク: 決済情報（スキミング）や顧客の個人情報が窃取される危険性が極めて高くなります。

4. 対策方法（今すぐやるべきこと）

① 公式パッチの適用（最優先）

Adobeから公開されているセキュリティ情報「APSB25-88」に従い、迅速に提供されている最新のセキュリティパッチ（または分離された単独パッチ）へアップデートを実施してください。

② WAF（Web Application Firewall）による防御

パッチの適用に時間がかかる場合、またはカスタムコードへの影響確認が必要な場合は、即時的な保護としてWAFを有効化してください。FastlyやCloudflareなどのWAFにて、CVE-2025-54236のシグネチャに基づく通信をブロックする仮想パッチ（Virtual Patch）を適用することが強く推奨されます。

5. 【重要】パッチ適用後の確認事項（侵害の有無を監査する）

10月下旬にはすでに概念実証（PoC）コードが公開されており、大規模なスキャンや攻撃が始まっています。そのため、「パッチを適用したから安心」ではありません。

パッチ適用前（または適用作業中）に、すでにバックドアを仕掛けられているケースが多数報告されています。以下の監査を必ず実施してください。

  1. 不審なファイルの検索: static.php, bootstrap.php, sysapi.php などの名前で、見知らぬPHPバックドアがサーバー内に生成されていないかマルウェアスキャンを実行して確認します。

  2. 悪意のあるセッションファイルの削除: サーバー上に残存している不審なセッションファイルを特定し、削除します。

  3. システム全体のマルウェアスキャン: eComscanなどのMagentoに特化したマルウェアスキャナーを使用して、コードベース全体にバックドアが潜んでいないか確認します。

.php以外の、画像などに見せかけたファイルがバックドアとして仕込まれることもあります。

まとめ

CVE-2025-54236（SessionReaper）は、過去のMagentoの脆弱性（ShopliftやCosmicStingなど）に匹敵する極めて危険な脆弱性です。自社サイトのバージョンを至急確認し、パッチの適用とバックドア調査をセットで行い、顧客とシステムの安全を確保してください。

私たち「Magento導入プロ集団」にお任せください

私たちは、単にシステムを構築するだけの開発会社ではありません。
Magento のポテンシャルを200%引き出し、貴社の売上成長 (グロース) とシステムの安全運用に伴走するビジネスパートナーです。

検討フェーズを問わず、以下のようなお悩みがあればいつでもご相談ください：

  • 「最新バージョンへのバージョンアップ作業、またはB2Bパッチとの兼ね合いが不安」
  • 「ミドルウェア（OpenSearch3やValkey）の刷新でサイトを高速化したい」
  • 「セキュリティを最新に保ちつつ、基幹システムとの連携を維持したい」

どんな些細な疑問でも構いません。まずは、私たちに貴社の「理想のECビジネス」をお聞かせください。
Magento がもたらす圧倒的な未来と安定性を、具体的にお話しさせていただきます。

あなたのビジネスの可能性と安全性を、Magentoとともに解き放ちましょう。

まずはお気軽にお問い合わせください！