注意喚起2026.10.27

Adobe Commerce・Magentoのファイルアップロードの脆弱性が悪用の一覧入り。7月の修正版へ更新を

3分で読める
一次資料2件
セキュリティ図鑑編集部

9.6

CVE-2026-48356のCVSS

Critical

認証不要

悪用の条件

利用者の操作は必要

10月27日

CISAがKEVに追加

悪用を確認

SUMMARY

要点をまとめると

01
米CISAは2026年10月27日、ECサイトの仕組みAdobe CommerceとMagento Open Sourceの脆弱性（CVE-2026-48356、CVSS 9.6）を悪用確認済みの一覧（KEV）に加えました。
02
危険な種類のファイルを認証なしでアップロードされるおそれがあります。
03
アドビは7月14日のAPSB26-73で修正済みです。

TO DO

やること全4つと手順を見る →

この記事をスライドで理解する（6枚）

1 / 6

この記事の流れ

Adobe Commerce・Magentoのファイルアップロードの脆弱性が悪用の一覧入り。7月の修正版へ更新を

7月に直ったのに、なぜ今？

アドビは7月に修正しましたが、CISAが10月27日に実際の悪用を確認しました。更新していないサイトが狙われています。

9.6CVE-2026-48356のCVSS

認証不要悪用の条件

10月27日CISAがKEVに追加

数字で見る

数字で見ると、こうなります

CVE-2026-48356のCVSS：9.6／悪用の条件：認証不要

7月14日APSB26-73アドビが修正版を公開。CVSS 9.6

10月27日KEVに追加CISAが悪用を確認

POINT 1

発表されている事実

7月に直ったのに、なぜ今？

アドビは7月に修正しましたが、CISAが10月27日に実際の悪用を確認しました。更新していないサイトが狙われています。

本文で読む

有償版Adobe Commerce2.4.8-p5以前など。2.4.x-2026-julが修正版

無償版Magento Open Source2.4.8-p5以前など。2.4.x-2026-julが修正版

B2BCommerce B2B1.5.3、1.5.2-p5以前など

POINT 2

自社が対象か確かめる

うちのショップは対象？

管理画面の下部か bin/magento --version で版を見て、2.4.x-2026-jul より前なら対象です。

本文で読む

STEP 1修正版へ更新テスト環境で確かめて本番へ

STEP 2改ざんを調べるpub/mediaのファイル、決済画面のスクリプト

STEP 3鍵を入れ替え管理者・API・決済の認証情報

STEP 4WAFを足す怪しいアップロードを止める

POINT 3

今すぐやること

更新以外にやることは？

アップロード用のフォルダや決済画面に見覚えのないファイル・スクリプトがないかを確かめ、怪しければ鍵を入れ替えます。

本文で読む

修正版へ更新する。

改ざんがないか調べる。

管理者のパスワードと鍵を入れ替える。

まとめ

今すぐやること

くわしい手順と出典は、本文で確かめてください。

本文で読む

ネットショップの仕組みとして使われるAdobe Commerce（有償版）とMagento Open Source（無償版）の脆弱性が、実際の攻撃に使われていると米CISAが判断しました。ECサイトが乗っ取られると、カード情報を盗む仕掛けを決済画面に埋め込まれるなど、お客様に直接の被害が出ます。

01発表されている事実

社長

7月に直ったのに、なぜ今？

アドビは7月に修正しましたが、CISAが10月27日に実際の悪用を確認しました。更新していないサイトが狙われています。

ハカセ

7月14日APSB26-73

アドビが修正版を公開。CVSS 9.6

10月27日KEVに追加

CISAが悪用を確認

7月14日
アドビ
APSB26-73を公開。CVE-2026-48356など複数の脆弱性を修正。公開時点では「悪用は把握していない」
10月27日
CISA
CVE-2026-48356をKEVに追加

アドビによると、CVE-2026-48356は危険な種類のファイルのアップロードを制限できていない不具合（CWE-434）で、深刻度はCritical、CVSSは9.6です。悪用に認証は要りませんが、利用者側の操作が必要な条件（UI:R）がついています。影響は権限の昇格とされています。

02自社が対象か確かめる

社長

うちのショップは対象？

管理画面の下部か bin/magento --version で版を見て、2.4.x-2026-jul より前なら対象です。

ハカセ

有償版Adobe Commerce

2.4.8-p5以前など。2.4.x-2026-julが修正版

無償版Magento Open Source

2.4.8-p5以前など。2.4.x-2026-julが修正版

B2BCommerce B2B

1.5.3、1.5.2-p5以前など

対象は次の版です。

Adobe Commerce：2.4.9、2.4.8-p5以前、2.4.7-p10以前、2.4.6-p15以前、2.4.5-p17以前、2.4.4-p18以前
Magento Open Source：2.4.9、2.4.8-p5以前、2.4.7-p10以前、2.4.6-p15以前
Adobe Commerce B2B：1.5.3、1.5.2-p5以前など

修正版は、Adobe Commerceが2.4.9-2026-jul、2.4.8-2026-jul、2.4.7-2026-jul、2.4.6-2026-jul、2.4.5-2026-jul、2.4.4-2026-jul、Magento Open Sourceが2.4.9-2026-julから2.4.6-2026-julです。版は管理画面の下部に表示されるほか、サーバーで bin/magento --version でも確かめられます。制作会社に運用を任せている場合は、版とAPSB26-73の適用状況を問い合わせてください。

03今すぐやること

社長

更新以外にやることは？

アップロード用のフォルダや決済画面に見覚えのないファイル・スクリプトがないかを確かめ、怪しければ鍵を入れ替えます。

ハカセ

STEP 1修正版へ更新

テスト環境で確かめて本番へ

STEP 2改ざんを調べる

pub/mediaのファイル、決済画面のスクリプト

STEP 3鍵を入れ替え

管理者・API・決済の認証情報

STEP 4WAFを足す

怪しいアップロードを止める

修正版へ更新する。アドビは個別の回避策を示していません。テスト環境で動作を確かめ、本番に当てます。
改ざんがないか調べる。アップロード用のフォルダ（pub/media など）に見覚えのないPHPなどのファイルがないか、決済画面に知らないスクリプトが入っていないかを確かめます。
管理者のパスワードと鍵を入れ替える。侵入が疑われるときは、管理者アカウント、APIの鍵、決済サービスの認証情報を変えます。
WAFで守りを足す。更新までの間、WAFで怪しいアップロードを止めると被害を減らせます。