Adobe Commerce/Magentoに新たな重大脆弱性、顧客アカウントの乗っ取りに悪用の試みを確認(CVE-2026-71362) 認証・ユーザー操作いずれも不要|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月14日更新日時: 2026年08月14日

Adobeは2026年8月11日、Adobe CommerceおよびMagento Open Sourceに対するセキュリティアップデートを公開し、認証不要で顧客アカウントを乗っ取れる重大な脆弱性CVE-2026-71362を含む7件の脆弱性を修正しました。Adobe自身は修正した脆弱性について実際の悪用は把握していないとしていますが、ECセキュリティ企業Sansecは、自社のWebアプリケーションファイアウォール（WAF）がCVE-2026-71362への悪用の試みを既にブロックしていることを明らかにしています。

この記事のサマリー

Adobeは2026年8月11日、Adobe Commerce・Magento Open Sourceに対するセキュリティアップデートを公開し、7件の脆弱性を修正しました。
最も深刻なCVE-2026-71362は、不適切な認可（authorization）に起因する脆弱性で、認証・管理者権限・ユーザー操作のいずれも必要とせずに、機密性の高いリソースへの昇格されたアクセスを取得できるとされています。
ECセキュリティ企業Sansecは、Adobeの修正パッチを分析した結果、Magentoが顧客のアイデンティティをアカウントセッション内で適切に処理していなかったことが原因だと説明しています。攻撃者は顧客のセッションを別の顧客アカウントへ切り替えることができ、被害者のアカウントと個人情報へアクセスできる状態になっていました。
Sansecは、CVE-2026-71362の悪用を狙った攻撃の試みを、自社のWAF（Sansec Shield）が既にブロックしていることを明らかにしています。Adobe自身は、修正した7件の脆弱性いずれについても実際の悪用は把握していないとしています。
同時に修正された残り6件のうち4件は重要度「高」、1件が「中」、1件が「低」と評価されています。
対象となるAdobe Commerce・Commerce B2B・Magento Open Sourceの現在サポートされているすべてのリリースラインのユーザーに対し、速やかなアップデートの適用が推奨されています。

整理表

CVE番号	CVSSスコア（深刻度）	種別	悪用条件
CVE-2026-71362	記載なし（Criticalとして説明）	不適切な認可、機密性の高いリソースへの昇格アクセス	認証・管理者権限・ユーザー操作いずれも不要
CVE-2026-48413	8.7（高）	格納型クロスサイトスクリプティング（任意コード実行につながる可能性）	認証は必要、管理者権限は不要
CVE-2026-48414	7.7（高）	格納型クロスサイトスクリプティング（任意コード実行につながる可能性）	認証・管理者権限ともに必要
CVE-2026-48415	7.6（高）	不適切な認可、Adobe Commerce B2Bのセキュリティ機能バイパス	認証は必要、管理者権限は不要
CVE-2026-48416	7.5（高）	不適切な認可、セキュリティ機能バイパス	認証・管理者権限いずれも不要
CVE-2026-48411	6.5（中）	不適切な認可、セキュリティ機能バイパス	認証・管理者権限ともに必要
CVE-2026-48412	2.7（低）	不適切な認可、権限昇格につながる可能性	認証・管理者権限ともに必要

何が起きたか

Adobeが公開したセキュリティアドバイザリ（APSB26-92）によると、CVE-2026-71362は不適切な認可に起因する脆弱性で、認証を経ることなく、機密性の高いリソースへの昇格されたアクセスを取得するために悪用され得るとされています。Adobe自身は、アドバイザリの中で、修正した脆弱性のいずれについても実環境での悪用は把握していないとしています。

しかし、ECセキュリティ企業Sansecは、自社のWebアプリケーションファイアウォール「Sansec Shield」が、CVE-2026-71362の悪用を狙った攻撃の試みを既にブロックしていることを明らかにしています。Sansecによると、この脆弱性の悪用には「既存のアカウント、管理者権限、ユーザーの操作のいずれも必要ない」とされています。

Sansecの研究者はAdobeの修正パッチを分析し、問題の原因をMagentoが顧客のアイデンティティをアカウントセッション内で適切に処理していなかった点に特定しました。「Sansecはパッチを精査し、この脆弱性が攻撃者に顧客セッションを別の顧客アカウントへ切り替えさせることを可能にしていたことを確認した。これにより、攻撃者は被害者のアカウントと、顧客の個人情報にアクセスできるようになる」と同社は説明しています。

その他6件の脆弱性

今回のアップデートでは、CVE-2026-71362に加えて6件の脆弱性が修正されています。このうち4件が重要度「高」と評価されています。CVE-2026-48414（CVSSスコア7.7）とCVE-2026-48413（同8.7）は、いずれも格納型クロスサイトスクリプティングの脆弱性で、任意のコード実行につながる可能性があります。CVE-2026-48413は認証のみが必要で管理者権限は不要である一方、CVE-2026-48414は認証と管理者権限の両方が必要とされています。CVE-2026-48415（同7.6）は、Adobe Commerce B2Bに影響する不適切な認可の脆弱性で、認証は必要ですが管理者権限は不要とされ、セキュリティ機能のバイパスにつながる可能性があります。CVE-2026-48416（同7.5）も不適切な認可に起因する脆弱性で、こちらは認証・管理者権限のいずれも不要とされています。残る2件のうち、CVE-2026-48411（同6.5、中程度）は認証と管理者権限の両方を必要とするセキュリティ機能バイパスの脆弱性、CVE-2026-48412（同2.7、低）は認証と管理者権限の両方を必要とする権限昇格の脆弱性です。

Sansecによると、この月次修正は、新しいセキュリティリリースや更新されたComposerパッケージとしてではなく、個別のパッチファイルとして配布されています。サイト管理者は、対応するパッチを適用する前に、自身がサポート対象のリリースブランチにおける最新の「-p」リリースを稼働させていることを、まず確認する必要があります。

過去にも起きたMagentoのセッション関連の重大脆弱性

Adobe Commerce・Magentoにおけるセッション・認証関連の重大脆弱性は、今回が初めてではありません。当サイトでは2025年9月、認証不要で悪用可能な重大脆弱性「SessionReaper」（CVE-2025-54236）についても報じており、詳細はAdobe CommerceとMagentoに重大な脆弱性-早急なパッチ適用を推奨で解説しています。SessionReaperは、その後複数の攻撃者によって実際に悪用され、世界規模で200件超の侵害と、日本・カナダのサイトへのWebシェル設置につながったことが確認されており、この経緯はMagentoの脆弱性 CVE-2025-54236がサイバー攻撃へ悪用-日本ドメインへのWebシェル設置もで詳しく報じています。今回のCVE-2026-71362も、認証不要でアカウントの乗っ取りにつながる点で同種の性質を持っており、SessionReaperの際と同様に、パッチ未適用のまま放置された場合、実際の悪用が本格化するリスクを踏まえた早急な対応が求められます。

情報システム部門が確認すべき対策ポイント

Adobe Commerce・Commerce B2B・Magento Open Sourceを運用している場合、2026年8月のセキュリティアップデートを速やかに適用してください。パッチ適用前に、自社が利用しているリリースブランチの最新「-p」リリースを稼働させているかを確認する必要があります。
パッチは個別ファイルとして配布されているため、自動更新に頼らず、Adobeの公式アドバイザリ（APSB26-92）を確認し、該当するパッチを手動で適用してください。
WAF（Webアプリケーションファイアウォール）を導入している場合、CVE-2026-71362を含む今回の脆弱性群に対応したルールが適用されているかを確認してください。
過去のSessionReaperの事例が示すとおり、この種の脆弱性は公開から数週間以内に実際の悪用が本格化する傾向があります。パッチ適用を後回しにせず、優先度の高い対応として扱ってください。
自社のECサイトが既に侵害されている可能性を念頭に、不審な管理者アカウントの作成、見覚えのないWebシェルファイル、異常な顧客アカウントへのアクセスパターンがないか、あわせて確認することをおすすめします。