検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

Adobe Commerce・Magento の CVE-2026-71362: 認証なしで権限昇格の恐れ、CVSS 9.1・KEV 掲載

World Security 編集部
目次（5）

CVE-2026-71362

Adobe Commerce と Magento Open Source に、認可の確認が不適切なため、認証なしで権限を昇格され、機密性の高いリソースへ高い権限でアクセスされうる脆弱性（CVE-2026-71362、CWE-863）があります。CVSS v3.1 は 9.1（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N、Adobe の評価）で、認証もユーザー操作も不要です。CISA は 2026-09-24 に既知の悪用がある脆弱性（KEV）として追加し、対応期限を 2026-09-27 としています。EPSS は 0.9049（パーセンタイル 0.998）と極めて高い水準です。

概要

項目内容
CVECVE-2026-71362
製品Adobe Commerce、Magento Open Source（CISA は「Commerce and Magento」として掲載）
問題認可の確認が不適切（Incorrect Authorization、CWE-863）。権限昇格につながる
攻撃条件ネットワーク経由、認証・ユーザー操作とも不要。攻撃の複雑さは低い
結果機密性・完全性への影響が大きい（可用性への影響なし）。具体的にどのリソースへ到達できるかは未確認
悪用状況CISA KEV に 2026-09-24 追加（対応期限 2026-09-27）。ランサムウェア利用は不明。攻撃の手口・規模は未確認

影響範囲

Adobe のセキュリティ情報（APSB26-92、2026-08-11 公開）では、次の版が影響を受けます。

  • Adobe Commerce: 2.4.9・2.4.8・2.4.7・2.4.6・2.4.5・2.4.4 の各 2026-jul 版とそれ以前
  • Adobe Commerce B2B: 1.5.3・1.5.2・1.4.2・1.3.4・1.3.3 の各 2026-jul 版とそれ以前
  • Magento Open Source: 2.4.9・2.4.8・2.4.7・2.4.6 の各 2026-jul 版とそれ以前

同じ情報には、この CVE のほかにも複数の脆弱性（クロスサイトスクリプティングや認可の不備など）の修正が含まれます。

対策

  • 各系統の 2026-aug 版（Commerce は 2.4.9・2.4.8・2.4.7・2.4.6・2.4.5・2.4.4、B2B は 1.5.3・1.5.2・1.4.2・1.3.4・1.3.3、Magento Open Source は 2.4.9・2.4.8・2.4.7・2.4.6）へ速やかに更新する。KEV の対応期限はすでに過ぎている。
  • 更新までの間、管理画面や API の公開範囲を、ネットワーク制限や WAF で絞ることを検討する。
  • CISA は KEV 掲載にあわせて、侵害の有無を確かめる調査（フォレンジックの初期確認）を求めている。管理者アカウントの不審な追加・権限変更、設定の改変、不審なアクセスがないか、ログを点検する。
  • 侵害が疑われる場合は、管理者の資格情報や API キーなどの秘密情報の再発行を検討する。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Analyzed（2026-08-11 公開、2026-10-26 更新）
CVSS v3.19.1（Adobe が割り当て。AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）
CWECWE-863
EPSS0.9049（パーセンタイル 0.998、2026-11-02 時点）
KEV2026-09-24 追加、期限 2026-09-27、ランサムウェア利用は不明
出典NVD、CISA KEV、Adobe セキュリティ情報 APSB26-92、FIRST

未確認の点

  • 権限昇格で具体的に何ができるか（どの機能・データに到達できるか）。
  • 実際の攻撃の手口、標的、規模。Adobe の情報（2026-08-11 時点）には「悪用は把握していない」とあり、その後 CISA が 2026-09-24 に悪用ありとして掲載している。
  • 他の脆弱性との連鎖の有無。
  • ランサムウェアでの利用の有無（KEV 上は「不明」）。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事