【緊急パッチリリース】Adobe Commerce / Magento APSB26-153 セキュリティパッチ

2026年7月（APSB26-73）、8月（APSB26-92）、9月（APSB26-138 / APSB26-146）に続き、2026年10月にもAdobeよりAdobe CommerceおよびMagento Open Sourceを対象とした最新セキュリティアップデート「APSB26-153」が公開されました。これにより、4ヶ月連続での緊急セキュリティパッチ適用が必要な状況となっています。

本記事では、今回公開された「APSB26-153」の概要や対象バージョンに加え、過去のパッチを順次適用してきた環境で多発している「メール配信時の制御タグ（{{inlinecss}}）の露出・表示崩れ不具合」とその回避ノウハウ、ならびに安全なスライス適用手順について解説します。

1. APSB26-153 の概要

今回公開されたセキュリティ情報「APSB26-153」の基本情報は以下の通りです。

2. 影響を受ける製品とバージョン

自社のECサイトが以下のバージョンに該当しているか、バージョン情報を確認してください。

影響を受ける主要バージョン一覧

※2026年10月公開の最新リリース（2.4.8-p5 / 2.4.7-p10等）またはAPSB26-153適用済み環境を除き、すべての運用環境で対応が必要です。

3. APSB26-153 適用時の落とし穴（Emailモジュールの競合と表示不具合）

過去のセキュリティパッチ（APSB26-73〜146）を順次スライス適用してきた環境において、今回のAPSB26-153をそのまま適用しようとすると、特にメール配信モジュール（magento/module-email）周りで不具合やデプロイエラーが発生しやすいという特徴があります。

① 過去パッチとのコード競合による適用失敗

APSB26-146等の既存パッチが適用されている環境では、モジュール内のソースコード（Filter.php 等）の行数や周辺記述が変更されています。そのため、公式のAPSB26-153パッチをそのまま重ねて当てようとするとコード差分が一致せず、パッチの適用拒否（Hunk Rejection）が発生してデプロイが中断してしまいます。

② 送信メール内への制御タグ残存（{{inlinecss}} 露出）

仮にパッチが通りビルドが成功した場合でも、メール処理ロジックにおける評価タイミングの変更により、メールテンプレート内のCSSインライン化指示子（{{inlinecss}}）が消化されずにスキップされる現象が報告されています。
これにより、ユーザーに送信される各種メール本文の冒頭に制御タグの文字列がそのまま露出・表示される不具合が発生します。

安全適用のための工夫

これらの問題を防ぐため、弊社では以下の2つのアプローチで適用を行っています。

• 時系列順の適用定義（パッチ順序の最適化）:
  composer.json 上でパッチの読み込み順序を時系列（73 → 92 → 138 → 146 → 153）に厳格に配置・制御します。
• コールバック処理の補正パッチ追加:
  APSB26-146適用後のコード構造に合わせ、APSB26-153のセキュリティ改修を保持しつつ、CSSインライン化のコールバックが正常に消化されるよう補正した調整パッチを組み合わせて適用します。

4. パッチの適用手順（Composerパッチ方式）

cweagans/composer-patches を使用し、モジュール単位に分割（スライス）した10月パッチおよび補正パッチを追加定義する手順の例です。

1. パッチファイルの配置

スライス抽出したパッチファイル群（framework.patch, module-email.patch, fix-email-filter-callbacks.patch 等）をプロジェクト内の patches/composer/ ディレクトリに配置します。

2. composer.json への定義追加

composer.json の extra.patches セクションに対象モジュールと時系列順でのパッチパスを記述します。

{
    "extra": {
        "patches": {
            "magento/framework": {
                "APSB26-146 Framework Fix": "patches/composer/APSB26-146-framework.patch",
                "APSB26-153 Security Patch": "patches/composer/2.4.8-p5_oct_2026/split/framework.patch"
            },
            "magento/module-email": {
                "APSB26-146 Module Email Fix": "patches/composer/APSB26-146-module-email.patch",
                "APSB26-153 Security Patch": "patches/composer/2.4.8-p5_oct_2026/split/module-email.patch",
                "Fix inlinecss directive callback reset issue": "patches/composer/fix-email-filter-callbacks.patch"
            }
        }
    }
}

3. パッチの適用と検証

コマンドラインで依存関係を再構築してパッチを適用し、各種ビルドコマンドを実行します。

composer install

bin/magento setup:di:compile
bin/magento setup:static-content:deploy -f
bin/magento cache:flush

デプロイ完了後、テストメール（会員登録・パスワード再設定等）を送信し、メール本文に {{inlinecss}} などの生タグが残らず綺麗に表示されることを確認してください。

5. まとめ

2026年10月リリースのセキュリティパッチ「APSB26-153」は、システムの脆弱性を塞ぐために早期適用が強く推奨される重要アップデートです。

• 4ヶ月連続のセキュリティ更新となり、継続的かつ計画的な保守運用が不可欠
• 過去パッチ（APSB26-146等）との兼ね合いから、Emailモジュール等での競合に注意
• 適用順序の制御と適切な補正パッチを組み合わせたスライス適用を推奨