Adobe Commerce・Magento、版番号だけで更新済みと判断しないで

どんな機能？ 名前を知らなくても、使っているかも。

Adobe Commerce（アドビ・コマース）とMagento Open Source（マジェント・オープンソース）は、商品・注文・顧客などを扱う通販サイトの土台です。今回の対象はこれらの該当版。PDFを読むAdobe Readerや、他社の通販サービスを使う全企業の問題ではありません。

たとえば、受注画面には同じ「2.4.8-p5」と表示されていても、月ごとの修正ファイルの適用状況が違う場合があります。これは説明用の一般例で、特定のお店の診断結果ではありません。「更新済み」の報告に、何を当てて、どう確認したかを添えてもらいましょう。

何が起きるおそれがある？

CVE（シー・ブイ・イー）は公開された弱点を識別する番号です。CVE-2026-48356は、危険な種類のファイルを適切に制限できない問題。開発元はCritical（クリティカル、重大）と評価しています。利用者の権限で不正な処理を動かされたり、アカウントや一時的なログイン状態であるセッションの操作権限を奪われたりするおそれがあります。

攻撃者は正規のログイン情報を必要としません。ただし、開発元のCVE説明では、利用者が細工されたURLを開く、改ざんされたページを操作する等の条件があります。通販サイトへ接続しただけで全サーバーの最高権限が奪われる、と一律に説明する問題ではありません。

「更新済み」の中身を、3段階で確かめる

版番号を見ることは出発点です。部品ごとの修正履歴と、受注業務が動くことまで分けて確認します。

01　どの通販システム？

Adobe Commerce／Magento Open Sourceの製品名、使っている系列、B2B（企業間取引）等の追加部品を確認。別のAdobe製品や、すべての通販サービスを対象にしません。

02　版番号 ＋ 修正ファイルの適用記録

同じ表示版でも、Isolated patchの適用が異なる場合があります。7月以降の必要な月次修正と、別途案内されるhotfixを照合。現在の状態を確認してから、必要な修正を選びます。

03　反映の確認 ＋ いつもの仕事のテスト

本番とは別の環境で、商品表示 → カート → 試験決済 → 受注・在庫 → 取消まで確かめます。実課金や実顧客データを使わず、障害時に注文を失わない戻し方も担当者と決めます。

これは運営者が確認を依頼するための整理です。個別環境の影響判定や、修正作業を自動で行うものではありません。

対象と、修正を分けて確認する。

影響するバージョン・条件

7月の公式案内では、Adobe Commerceは2.4.9、2.4.8-p5以前・2.4.7-p10以前・2.4.6-p15以前・2.4.5-p17以前・2.4.4-p18以前の該当系列が対象です。Magento Open Sourceの表は2.4.9、2.4.8-p5以前・2.4.7-p10以前・2.4.6-p15以前。B2BやEvents等の追加部品も、導入版とメーカー表を照合します。表示の版が同じでも修正済みの場合があるため、適用記録を別に確認してください。

修正版・更新先

この問題の修正は7月のAPSB26-73で提供されています。Isolated patch（アイソレーテッド・パッチ）は、基準の版へ別途加える修正ファイルです。必要な月の修正を順に適用する方式のため、10月分を入れたという報告だけで、7月以降がすべてそろったとは判断しません。cloud-patchesですでに反映済みなら、同じ修正の重ねがけを避け、担当者が状態を確認します。

あわせて知っておきたいこと

いま選ぶ更新先は7月版だけでよい、という意味ではありません。10月13日の公式更新APSB26-153や、その注意書きが別途必要とする9月のCVE-2026-75650用hotfix（ホットフィックス、個別の修正）も照合します。別のCVEを今回と同じ問題として扱わず、利用中の部品・保守される安定系列・月次修正履歴から必要な組み合わせを担当者が判断します。

確認日以降に、新しい修正や案内が出る場合があります。適用時は保守担当者が最新の公式情報と照合してください。

担当者と、何から進める？

1. 01

   製品名と修正の履歴を確かめる

   CommerceかOpen Sourceか、基準の版、追加部品、7月以降の月次パッチと別hotfixの適用記録を確認します。担当者に公式のCommerce Version Tool等の確認結果を示してもらい、不明な行を未確認のまま記録します。特定の2.4.8-p5では10月パッチの同名再発行でUNKNOWNとなる注意もあるため、表示だけで安全・未修正を決めません。

2. 02

   受注を守るバックアップと戻し方を決める

   コードだけでなく注文・在庫・顧客データや設定の控えを用意し、復元できるかを担当者と確認。更新中に受注した注文を失わない方法、停止の要否と時間、代替受付、工数・費用、作業責任者を決めます。過去の侵害が疑われる場合は、記録を消す前に調査担当者へ相談します。

3. 03

   別の環境で購入から取消まで試す

   実課金を避ける決済の試験環境とテスト用データを使い、商品表示、会員ログイン、カート、決済、受注・在庫反映、通知、取消・返金連携、管理者権限を確認。独自拡張や配送・会計連携も対象を決めます。更新失敗時の戻し方を、本番とは別の環境で確かめます。

4. 04

   反映した修正と通常操作を分けて記録

   本番へ適用された修正を再確認して、主要操作と未完了事項を記録します。問題が起きても注文データを過去の状態へ戻して失わないよう、復旧判断は責任者と行ってください。更新できたことは、過去の情報漏出や不正操作がなかった証明ではありません。

保守会社に、このまま聞けます。

当社のAdobe Commerce・Magentoについて、CVE-2026-48356を含む7月修正の実適用を確認してください。製品・基準版・追加部品、7月以降の月次パッチと別hotfix、確認結果を教えてください。注文・決済・在庫・取消と外部連携のテスト、バックアップ・復元、停止の要否と時間、工数・費用、受注データを失わない戻し方も相談したいです。不明な点と、侵害の疑いがある場合の記録保全も教えてください。

停止時間・費用・戻し方まで含む確認文をコピーする →