---
title: "Adobe Commerce・Magento の CVE-2026-71362: 認証なしで権限昇格の恐れ、CVSS 9.1・KEV 掲載"
url: https://n-t-p.io/worldsecurity/articles/adobe-commerce-magento-incorrect-authorization-kev-cve-2026-71362
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 緊急
cve: CVE-2026-71362
---

# Adobe Commerce・Magento の CVE-2026-71362: 認証なしで権限昇格の恐れ、CVSS 9.1・KEV 掲載

> **TL;DR:** Adobe Commerce・Magento Open Source の各系統（2026-jul 版以前）に、認可の不備で認証なしに権限昇格されうる脆弱性（CVE-2026-71362、CVSS v3.1 9.1）。CISA KEV に掲載済み、EPSS は 0.90。2026-aug 版へ更新し、ログを点検する。

**要点**
- 認可の確認が不適切（CWE-863）で権限昇格につながる。到達できるリソースの範囲は未確認
- CVSS v3.1 9.1（Adobe、AV:N/PR:N/UI:N/S:U）。認証不要かつ 9 以上のため critical
- 修正は各系統の 2026-aug 版（APSB26-92）。KEV の対応期限 2026-09-27 は過ぎている
- KEV 2026-09-24 追加、EPSS 0.9049。攻撃の手口・規模・ランサム利用は未確認

Adobe Commerce と Magento Open Source に、認可の確認が不適切なため、認証なしで権限を昇格され、機密性の高いリソースへ高い権限でアクセスされうる脆弱性（CVE-2026-71362、CWE-863）があります。CVSS v3.1 は 9.1（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N、Adobe の評価）で、認証もユーザー操作も不要です。CISA は 2026-09-24 に既知の悪用がある脆弱性（KEV）として追加し、対応期限を 2026-09-27 としています。EPSS は 0.9049（パーセンタイル 0.998）と極めて高い水準です。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-71362 |
| 製品 | Adobe Commerce、Magento Open Source（CISA は「Commerce and Magento」として掲載） |
| 問題 | 認可の確認が不適切（Incorrect Authorization、CWE-863）。権限昇格につながる |
| 攻撃条件 | ネットワーク経由、認証・ユーザー操作とも不要。攻撃の複雑さは低い |
| 結果 | 機密性・完全性への影響が大きい（可用性への影響なし）。具体的にどのリソースへ到達できるかは未確認 |
| 悪用状況 | CISA KEV に 2026-09-24 追加（対応期限 2026-09-27）。ランサムウェア利用は不明。攻撃の手口・規模は未確認 |

## 影響範囲

Adobe のセキュリティ情報（APSB26-92、2026-08-11 公開）では、次の版が影響を受けます。

- Adobe Commerce: 2.4.9・2.4.8・2.4.7・2.4.6・2.4.5・2.4.4 の各 2026-jul 版とそれ以前
- Adobe Commerce B2B: 1.5.3・1.5.2・1.4.2・1.3.4・1.3.3 の各 2026-jul 版とそれ以前
- Magento Open Source: 2.4.9・2.4.8・2.4.7・2.4.6 の各 2026-jul 版とそれ以前

同じ情報には、この CVE のほかにも複数の脆弱性（クロスサイトスクリプティングや認可の不備など）の修正が含まれます。

## 対策

- 各系統の 2026-aug 版（Commerce は 2.4.9・2.4.8・2.4.7・2.4.6・2.4.5・2.4.4、B2B は 1.5.3・1.5.2・1.4.2・1.3.4・1.3.3、Magento Open Source は 2.4.9・2.4.8・2.4.7・2.4.6）へ速やかに更新する。KEV の対応期限はすでに過ぎている。
- 更新までの間、管理画面や API の公開範囲を、ネットワーク制限や WAF で絞ることを検討する。
- CISA は KEV 掲載にあわせて、侵害の有無を確かめる調査（フォレンジックの初期確認）を求めている。管理者アカウントの不審な追加・権限変更、設定の改変、不審なアクセスがないか、ログを点検する。
- 侵害が疑われる場合は、管理者の資格情報や API キーなどの秘密情報の再発行を検討する。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Analyzed（2026-08-11 公開、2026-10-26 更新） |
| CVSS v3.1 | 9.1（Adobe が割り当て。AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N） |
| CWE | CWE-863 |
| EPSS | 0.9049（パーセンタイル 0.998、2026-11-02 時点） |
| KEV | 2026-09-24 追加、期限 2026-09-27、ランサムウェア利用は不明 |
| 出典 | NVD、CISA KEV、Adobe セキュリティ情報 APSB26-92、FIRST |

## 未確認の点

- 権限昇格で具体的に何ができるか（どの機能・データに到達できるか）。
- 実際の攻撃の手口、標的、規模。Adobe の情報（2026-08-11 時点）には「悪用は把握していない」とあり、その後 CISA が 2026-09-24 に悪用ありとして掲載している。
- 他の脆弱性との連鎖の有無。
- ランサムウェアでの利用の有無（KEV 上は「不明」）。


## 出典
- [NVD CVE-2026-71362](https://nvd.nist.gov/vuln/detail/CVE-2026-71362) — NIST NVD
- [Adobe APSB26-92](https://helpx.adobe.com/security/products/magento/apsb26-92.html) — Adobe
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-71362) — CISA
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-71362) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/adobe-commerce-magento-incorrect-authorization-kev-cve-2026-71362