検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

Adobe Commerce・Magento の CVE-2026-48356: 危険なファイルのアップロードで任意コード実行の恐れ、CVSS 9.3・KEV 掲載

World Security 編集部
目次（5）

CVE-2026-48356

Adobe Commerce と Magento Open Source に、危険な種類のファイルを制限なくアップロードできる脆弱性（CVE-2026-48356、CWE-434）があります。悪用されると、現在のユーザーの権限で任意のコードが実行され、アカウントやセッションの制御を奪われる可能性があります。悪用には、被害者が細工された URL を開くか、改ざんされたページを操作するなどのユーザー操作が必要です。CISA は 2026-10-27 に既知の悪用がある脆弱性（KEV）として追加し、対応期限を 2026-11-10 としています。CVSS v3.1 は 9.3（AV:N/AC:L/PR:N/UI:R/S:C）で、認証は不要です。

概要

項目内容
CVECVE-2026-48356
製品Adobe Commerce、Adobe Commerce B2B、Magento Open Source、Adobe Commerce Events
問題危険な種類のファイルを制限なくアップロードできる（CWE-434）。任意コード実行につながる
攻撃条件ネットワーク経由。認証は不要だが、被害者が細工された URL を開く、または侵害されたページを操作するユーザー操作が必要
結果現在のユーザーの権限でのコード実行。アカウントやセッションの制御を奪われる可能性（スコープ変更あり）
悪用状況CISA KEV に 2026-10-27 追加（対応期限 2026-11-10）。ランサムウェア利用は不明。攻撃の手口・規模は未確認

影響範囲

Adobe の CNA 情報では、次の版が影響を受けます。

  • Adobe Commerce: 2.4.9、2.4.8-p5、2.4.7-p10、2.4.6-p15、2.4.5-p17、2.4.4-p18 以前
  • Adobe Commerce B2B: 1.5.3、1.5.2-p5、1.4.2-p10、1.3.4-p17、1.3.3-p18 以前
  • Magento Open Source: 2.4.9、2.4.8-p5、2.4.7-p10、2.4.6-p15 以前
  • Adobe Commerce Events: 1.20.0 以前

修正済みとして、各系統の「2026-jul」版（例: 2.4.9-2026-jul、2.4.8-2026-jul）、B2B の 1.5.3-2026-jul など、Events の 1.21.0 が挙がっています。

対策

  • Adobe のセキュリティ情報（APSB26-73）に従い、修正版（2026-jul 版）へ更新する。
  • CISA は KEV の対応として、ベンダーの手順に沿った緩和を求めている。緩和策が用意できない場合は製品の利用中止を検討する。
  • 更新の前後で、公開ディレクトリ（pub/media など）に身に覚えのない実行可能ファイルが置かれていないかを点検する。研究機関の公開情報には侵害の痕跡の指標が掲載されているため、あわせて参照する。
  • 管理画面や運用担当者のアカウントが細工された URL を開かないよう、周知する。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Analyzed（2026-07-14 公開）
CVSS v3.19.3（Adobe・NVD とも同じ。AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N）
CWECWE-434
EPSS0.4458（パーセンタイル 0.988、2026-11-02 時点）
KEV2026-10-27 追加、期限 2026-11-10、ランサムウェア利用は不明
CISA SSVC悪用: active、自動化可能: no、技術的影響: total
出典NVD、CISA KEV、Adobe セキュリティ情報 APSB26-73、FIRST

未確認の点

  • Adobe 情報の本文に記載された、悪用の具体的な手順と、アップロード先・実行される場面。
  • 攻撃の標的・規模・手口。
  • 外部の研究機関が公開している侵害の痕跡と、この CVE との対応関係。
  • ランサムウェアでの利用の有無（KEV 上は「不明」）。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事