--- title: "Adobe Commerce・Magento の CVE-2026-48356: 危険なファイルのアップロードで任意コード実行の恐れ、CVSS 9.3・KEV 掲載" url: https://n-t-p.io/worldsecurity/articles/adobe-commerce-magento-unrestricted-file-upload-kev-cve-2026-48356 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-48356 --- # Adobe Commerce・Magento の CVE-2026-48356: 危険なファイルのアップロードで任意コード実行の恐れ、CVSS 9.3・KEV 掲載 > **TL;DR:** Adobe Commerce・Magento Open Source で、危険なファイルの無制限アップロードにより任意コードが実行されうる脆弱性（CVE-2026-48356、CVSS v3.1 9.3）。CISA KEV に掲載済み。2026-jul の修正版へ更新し、不審なファイルの有無を点検する。 **要点** - 危険なファイルの無制限アップロード（CWE-434）。認証は不要だが、被害者が細工された URL を開くなどのユーザー操作が必要 - CVSS v3.1 9.3（Adobe・NVD、AV:N/PR:N/UI:R/S:C）。認証不要かつ 9 以上、KEV 掲載のため critical - 対象は Adobe Commerce 2.4.9 以前の各系統・Magento Open Source・B2B・Events 1.20.0 以前。修正は 2026-jul 版 - KEV 2026-10-27 追加、EPSS 0.4458。悪用の手順・攻撃の規模・ランサム利用は未確認 Adobe Commerce と Magento Open Source に、危険な種類のファイルを制限なくアップロードできる脆弱性（CVE-2026-48356、CWE-434）があります。悪用されると、現在のユーザーの権限で任意のコードが実行され、アカウントやセッションの制御を奪われる可能性があります。悪用には、被害者が細工された URL を開くか、改ざんされたページを操作するなどのユーザー操作が必要です。CISA は 2026-10-27 に既知の悪用がある脆弱性（KEV）として追加し、対応期限を 2026-11-10 としています。CVSS v3.1 は 9.3（AV:N/AC:L/PR:N/UI:R/S:C）で、認証は不要です。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-48356 | | 製品 | Adobe Commerce、Adobe Commerce B2B、Magento Open Source、Adobe Commerce Events | | 問題 | 危険な種類のファイルを制限なくアップロードできる（CWE-434）。任意コード実行につながる | | 攻撃条件 | ネットワーク経由。認証は不要だが、被害者が細工された URL を開く、または侵害されたページを操作するユーザー操作が必要 | | 結果 | 現在のユーザーの権限でのコード実行。アカウントやセッションの制御を奪われる可能性（スコープ変更あり） | | 悪用状況 | CISA KEV に 2026-10-27 追加（対応期限 2026-11-10）。ランサムウェア利用は不明。攻撃の手口・規模は未確認 | ## 影響範囲 Adobe の CNA 情報では、次の版が影響を受けます。 - Adobe Commerce: 2.4.9、2.4.8-p5、2.4.7-p10、2.4.6-p15、2.4.5-p17、2.4.4-p18 以前 - Adobe Commerce B2B: 1.5.3、1.5.2-p5、1.4.2-p10、1.3.4-p17、1.3.3-p18 以前 - Magento Open Source: 2.4.9、2.4.8-p5、2.4.7-p10、2.4.6-p15 以前 - Adobe Commerce Events: 1.20.0 以前 修正済みとして、各系統の「2026-jul」版（例: 2.4.9-2026-jul、2.4.8-2026-jul）、B2B の 1.5.3-2026-jul など、Events の 1.21.0 が挙がっています。 ## 対策 - Adobe のセキュリティ情報（APSB26-73）に従い、修正版（2026-jul 版）へ更新する。 - CISA は KEV の対応として、ベンダーの手順に沿った緩和を求めている。緩和策が用意できない場合は製品の利用中止を検討する。 - 更新の前後で、公開ディレクトリ（pub/media など）に身に覚えのない実行可能ファイルが置かれていないかを点検する。研究機関の公開情報には侵害の痕跡の指標が掲載されているため、あわせて参照する。 - 管理画面や運用担当者のアカウントが細工された URL を開かないよう、周知する。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD の状態 | Analyzed（2026-07-14 公開） | | CVSS v3.1 | 9.3（Adobe・NVD とも同じ。AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N） | | CWE | CWE-434 | | EPSS | 0.4458（パーセンタイル 0.988、2026-11-02 時点） | | KEV | 2026-10-27 追加、期限 2026-11-10、ランサムウェア利用は不明 | | CISA SSVC | 悪用: active、自動化可能: no、技術的影響: total | | 出典 | NVD、CISA KEV、Adobe セキュリティ情報 APSB26-73、FIRST | ## 未確認の点 - Adobe 情報の本文に記載された、悪用の具体的な手順と、アップロード先・実行される場面。 - 攻撃の標的・規模・手口。 - 外部の研究機関が公開している侵害の痕跡と、この CVE との対応関係。 - ランサムウェアでの利用の有無（KEV 上は「不明」）。 ## 出典 - [NVD CVE-2026-48356](https://nvd.nist.gov/vuln/detail/CVE-2026-48356) — NIST NVD - [Adobe セキュリティ情報 APSB26-73](https://helpx.adobe.com/security/products/magento/apsb26-73.html) — Adobe - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48356) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-48356) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/adobe-commerce-magento-unrestricted-file-upload-kev-cve-2026-48356