Adobeは2026年9月7日から8日にかけて、Adobe Commerce、Magento Open Source、Adobe Experience Manager（AEM）、Acrobat／Reader、ColdFusion、Photoshop、Illustrator、Animate、Campaign Classicなど複数製品のセキュリティアップデートを公開しました。
SecurityWeekは、Adobeが今回修正した脆弱性を170件超と集計しています。中でも最優先となるのは、Adobe CommerceとMagento Open Sourceに影響するCVE-2026-75650です。
CVE-2026-75650は、認証不要で任意コード実行につながるCVSS 10.0の脆弱性です。Adobeは実際の攻撃で悪用されていることを確認しており、Priority 1として緊急ホットフィックスを公開しました。
この脆弱性を調査したECセキュリティ企業Sansecは「StyleSmuggler」と呼んでおり、2026年9月4日から攻撃を確認したとしています。Adobeは9月7日にCVE-2026-75650向けホットフィックスを公開し、パッチ適用だけでなく暗号化キーと関連する認証情報のローテーションも案内しています。
Adobe 2026年9月セキュリティ更新のサマリー
確認できている内容：
- Adobeは2026年9月7日、Adobe Commerce／Magento Open Source向けにCVE-2026-75650の緊急セキュリティアップデートAPSB26-146を公開しました。
- CVE-2026-75650はCVSS 10.0で、認証不要の攻撃者による任意コード実行につながる可能性があります。
- AdobeはCVE-2026-75650が実際の攻撃で悪用されていることを確認しています。
- Sansecはこの脆弱性を「StyleSmuggler」と呼び、9月4日から攻撃を確認したとしています。
- AdobeはCVE-2026-75650への対応としてVULN-39341ホットフィックスの適用を案内しています。
- Adobeはホットフィックス適用に加えて、Commerceの暗号化キーと、そのキーで保護されていた管理者パスワード、API資格情報、データベース資格情報などのローテーションを案内しています。
- 9月8日にはAdobe Commerce向けの通常セキュリティ更新APSB26-138も公開され、8件の脆弱性が修正されました。
- Adobe Campaign ClassicではCVSS 10.0のCVE-2026-82004を修正しました。
- Adobe ColdFusionでは9件の脆弱性を修正し、CVE-2026-48273はCVSS 9.9です。
- Adobe Experience ManagerではSecurityWeekの集計で107件、Acrobat／Readerでは32件の脆弱性が修正されています。
- Photoshopでは8件、Illustratorでは3件、Animateでは1件、Photoshop Mobileでは2件が修正されています。
- AdobeはCVE-2026-75650を除き、9月8日に公開した各更新で実際の悪用を把握していないとしています。
- 9月9日時点でCVE-2026-75650のCISA Known Exploited Vulnerabilities（KEV）Catalog掲載は確認できませんでした。
| 製品 | Adobe Bulletin | 主な内容 | 最大CVSS | Adobe優先度 | 実悪用 |
|---|---|---|---|---|---|
| Adobe Commerce / Magento Open Source | APSB26-146 | CVE-2026-75650、認証不要の任意コード実行 | 10.0 | 1 | 確認済み |
| Adobe Commerce / Magento Open Source | APSB26-138 | 権限昇格、セキュリティ機能バイパスなど8件 | 9.3 | 2 | 確認されず |
| Adobe Campaign Classic | APSB26-142 | OSコマンドインジェクション | 10.0 | 1 | 確認されず |
| Adobe ColdFusion | APSB26-119 | 任意コード実行、権限昇格、ファイル読み取り等9件 | 9.9 | 1 | 確認されず |
| Adobe Experience Manager | APSB26-98 | 権限昇格、セキュリティ機能バイパス、コード実行 | 9.9 | 2 | 確認されず |
| Adobe Acrobat / Reader | APSB26-141 | 任意コード実行、メモリ情報露出など | － | － | 確認されず |
| Adobe Photoshop | APSB26-130 | 任意コード実行8件 | 8.6 | 3 | 確認されず |
| Adobe Illustrator | APSB26-131 | 任意コード実行3件 | 8.6 | 3 | 確認されず |
| Adobe Animate | APSB26-132 | 任意コード実行1件 | － | 3 | 確認されず |
| Adobe Photoshop Mobile | APSB26-136 | 権限昇格、セキュリティ機能バイパス2件 | 7.4 | 3 | 確認されず |
CVE-2026-75650はAdobe Commerce／Magentoの認証不要RCE
CVE-2026-75650は、Adobe CommerceとMagento Open Sourceのテンプレートエンジンに関する脆弱性です。
AdobeはCWE-1336「Improper Neutralization of Special Elements Used in a Template Engine」に分類しています。
CVSS v3.1は10.0で、Attack VectorはNetwork、Attack ComplexityはLow、Privileges RequiredはNone、User InteractionはNoneです。
Adobeは、悪用に成功すると任意コード実行につながる可能性があると説明しています。
AdobeはCVE-2026-75650の実悪用を確認
AdobeはAPSB26-146で、CVE-2026-75650が実際の攻撃で悪用されていることを明記しています。
Adobe CommerceのKnowledge Baseでも、Adobe Commerce merchantsを標的とした実悪用を把握していると説明しています。
一方、Adobeは攻撃者の名称、被害組織数、攻撃対象国、日本企業への被害などは公表していません。
Sansecは「StyleSmuggler」と命名、9月4日から攻撃を観測
Sansecは、この攻撃手法を「StyleSmuggler」と呼んでいます。
同社によると、最初の攻撃を確認したのは2026年9月4日です。攻撃者はMagentoのテンプレート処理へ悪性コードを注入し、通常のメール生成処理を悪用してコードを実行させる手法を用いていたとしています。
Sansecは、攻撃対象でバックドアやWebシェルが展開されたケースを確認しています。
本記事では、再現可能な攻撃手順や具体的なペイロードは扱いません。
2.4.4から2.4.9系まで広範囲に影響
AdobeがAPSB26-146で示した主な影響対象は次のとおりです。
Adobe Commerce
- 2.4.9-2026-aug以前
- 2.4.8-2026-aug以前
- 2.4.7-2026-aug以前
- 2.4.6-2026-aug以前
- 2.4.5-2026-aug以前
- 2.4.4-2026-aug以前
Adobe Commerce B2B
- 1.5.3-2026-aug以前
- 1.5.2-2026-aug以前
- 1.4.2-2026-aug以前
- 1.3.4-2026-aug以前
- 1.3.3-2026-aug以前
Magento Open Source
- 2.4.9-2026-aug以前
- 2.4.8-2026-aug以前
- 2.4.7-2026-aug以前
- 2.4.6-2026-aug以前
Sansecは、Magento Open Source 2.4.7、2.4.8、2.4.9で認証不要の攻撃チェーンを再現したとしています。
7月・8月の2026年セキュリティパッチを適用した環境でも攻撃が成立した事例を確認しているため、8月までの定例更新を適用済みでもCVE-2026-75650への対策済みとは判断できません。
AdobeはVULN-39341ホットフィックスを公開
AdobeはCVE-2026-75650への対応としてVULN-39341ホットフィックスを公開しています。
APSB26-146はPriority 1です。AdobeのPriority 1は、実際に攻撃対象となっている脆弱性、または攻撃される可能性が高い脆弱性に対する更新で、管理者にできるだけ早く、例として72時間以内の適用を推奨する区分です。
パッチだけでなく暗号化キーと資格情報のローテーションが必要
Adobeはホットフィックス適用に加え、Commerceの暗号化キーをローテーションするよう案内しています。
さらに、侵害された可能性を考慮し、暗号化キーで保護されていた関連資格情報も更新対象としています。
主な対象は次のとおりです。
- Adobe Commerceの暗号化キー
- Admin Panel利用者のパスワード
- REST／SOAP／GraphQL integration token
- OAuth client secret
- 決済ゲートウェイのAPI資格情報
- データベース資格情報
- SSH／deploy key
- cronやシステム権限を持つサービスアカウント
- 配送・税計算など外部サービスのAPIキー
Adobeは、決済ゲートウェイなど外部サービスの資格情報について、Commerce側だけではなく提供元サービス側でローテーションするよう案内しています。
9月8日の通常Commerce更新も別途必要
Adobeは9月8日、通常のAdobe Commerceセキュリティ更新APSB26-138も公開しました。
この更新では8件の脆弱性が修正されています。
| CVE | 種別 | 最大影響 | CVSS |
|---|---|---|---|
| CVE-2026-76200 | Stored XSS | 権限昇格 | 9.3 |
| CVE-2026-76201 | Stored XSS | 権限昇格 | 9.3 |
| CVE-2026-77111 | Incorrect Authorization | セキュリティ機能バイパス | 8.7 |
| CVE-2026-77109 | Incorrect Authorization | 権限昇格 | 8.6 |
| CVE-2026-77774 | Incorrect Authorization | セキュリティ機能バイパス | 8.6 |
| CVE-2026-76202 | Incorrect Authorization | 権限昇格 | 8.2 |
| CVE-2026-77110 | Path Traversal | セキュリティ機能バイパス | 7.6 |
| CVE-2026-77108 | Incorrect Authorization | 権限昇格 | 7.5 |
AdobeはAPSB26-138について実悪用を確認していません。
ただし、APSB26-138には、9月7日のAPSB26-146向けCVE-2026-75650ホットフィックスを追加で適用するよう明記されています。
関連記事：Adobe Commerce/Magentoに新たな重大脆弱性、顧客アカウントの乗っ取りに悪用の試みを確認（CVE-2026-71362）
Adobe Campaign ClassicにもCVSS 10.0のCVE-2026-82004
Adobe Campaign Classicでは、CVE-2026-82004が修正されました。
OS Command Injection（CWE-78）の脆弱性で、CVSS v3.1は10.0です。Adobeの評価では認証不要、ユーザー操作不要で、悪用に成功すると任意コード実行につながる可能性があります。
対象はAdobe Campaign Classic v7 7.4.4 build 9401以前で、修正版は7.4.4 build 9402です。
AdobeはPriority 1に分類していますが、実悪用は確認していません。Adobe-hosted instanceはすでに修正済みで、顧客側の対応が必要なのは完全オンプレミス環境とハイブリッド構成のオンプレミスコンポーネントです。
ColdFusionは9件修正、CVE-2026-48273はCVSS 9.9
Adobe ColdFusionでは、APSB26-119で9件の脆弱性が修正されました。
最も高いCVSSはCVE-2026-48273の9.9です。
| CVE | 種別 | 影響 | CVSS |
|---|---|---|---|
| CVE-2026-48273 | Eval Injection | 任意コード実行 | 9.9 |
| CVE-2026-75746 | SQL Injection | 任意コード実行 | 9.1 |
| CVE-2026-76190 | Eval Injection | 任意コード実行 | 8.6 |
| CVE-2026-75993 | Reflected XSS | 権限昇格 | 8.5 |
| CVE-2026-75999 | Improper Input Validation | 任意コード実行 | 8.4 |
| CVE-2026-75998 | Improper Access Control | 任意ファイル読み取り | 7.5 |
| CVE-2026-76000 | Resource Consumption | DoS | 6.5 |
| CVE-2026-76002 | Reflected XSS | 任意コード実行 | 6.1 |
| CVE-2026-21269 | Stored XSS | 任意コード実行 | 4.6 |
対象はColdFusion 2025.0.12以前と2023.0.23以前です。
修正版はColdFusion 2025が2025.0.13、ColdFusion 2023が2023.0.24です。AdobeはPriority 1に分類していますが、実悪用を把握していません。
Adobe Experience Managerでは100件超を修正
Adobe Experience ManagerではAPSB26-98が公開されました。
SecurityWeekは107件の脆弱性が修正されたと集計しています。
Adobeの公式Bulletinでは、AEM Cloud Service、AEM 6.5 LTS、AEM 6.5が対象となっています。
修正版はAEM Cloud Service 2026.8.0、AEM 6.5 LTS Service Pack 3、AEM 6.5 Service Pack 25です。
最も深刻なCVE-2026-19232はIncorrect Authorizationに起因し、CVSS 9.9です。AdobeはPriority 2に分類し、実悪用を把握していません。
Acrobat／Reader、Photoshopなどクライアント製品も更新
SecurityWeekの集計では、Acrobat／Readerで32件、Photoshopで8件の脆弱性が修正されています。
PhotoshopのAPSB26-130では8件すべてが任意コード実行につながるCriticalの脆弱性です。
対象はPhotoshop 2026 27.6以前とPhotoshop 2025 26.11.6以前で、修正版は27.7、26.11.7です。
Illustratorでは3件、Animateでは1件、Photoshop Mobileでは2件が修正されています。Adobeはこれらについて実悪用を把握していません。
170件超すべてを同じ優先度で扱う必要はない
今回のAdobe更新は件数が多いですが、対応優先度は同じではありません。
最優先はCVE-2026-75650です。
- 実悪用済み
- CVSS 10.0
- 認証不要
- 任意コード実行
- Adobe Priority 1
- インターネット公開されるEC基盤が対象
- パッチに加えて資格情報ローテーションが必要
次に、Priority 1のCampaign ClassicとColdFusionを確認します。
AEMと通常Commerce更新はPriority 2です。Photoshop、Illustrator、AnimateなどはPriority 3ですが、管理対象端末で更新状況を確認します。
Commerce利用企業は侵害調査も必要
CVE-2026-75650は修正版公開前から悪用されていたゼロデイです。
そのため、9月7日以降にホットフィックスを適用しても、修正前に侵害されていなかったかを別途確認する必要があります。
Sansecは、攻撃後にバックドアやWebシェルを展開する複数の攻撃者を確認したとしています。
企業では次の項目を調査対象にできます。
- 9月4日以降のWebアクセスログ
- Magento／Commerceの異常なエラー
- 予期しないPayment Transaction Failed Reminder
- Webルートや一時ディレクトリの不審ファイル
- 新規・不審なバックグラウンドプロセス
- 管理者アカウントの変更
- APIトークンの発行・利用
- データベースへの不審なアクセス
- 外部通信
IOCは更新される可能性があるため、SansecやAdobeの最新情報を確認します。
情報システム・セキュリティ部門が確認したいこと
- Adobe Commerce／Magento Open Sourceを利用しているか
- CVE-2026-75650のVULN-39341ホットフィックスを適用したか
- ホットフィックスが正常に反映されていることを確認したか
- Commerceの暗号化キーをローテーションしたか
- 管理者パスワード、APIトークン、OAuth secret、DB資格情報を更新したか
- 決済・配送・税計算など外部サービス側でも資格情報を更新したか
- 9月4日以降の侵害痕跡を確認したか
- APSB26-138の通常Commerce更新も別途適用したか
- Adobe Campaign Classicのオンプレミス環境を利用しているか
- ColdFusion 2025／2023のバージョンを確認したか
- AEMのCloud／6.5 LTS／6.5環境を確認したか
- Acrobat／ReaderやCreative Cloud製品の端末更新状況を取得できるか
- Adobe Priority 1を脆弱性管理の緊急レーンへ反映しているか
- 実悪用済みCVEについて「パッチ適用」と「侵害調査」を分けて管理しているか
今回の更新では、脆弱性件数の多さより、CVE-2026-75650がパッチ公開前から実際に悪用されていた点を優先して判断する必要があります。
Adobe Commerce／Magentoを運用する企業は、9月の定例アップデートだけで対応済みとせず、CVE-2026-75650専用ホットフィックス、資格情報ローテーション、侵害調査まで完了しているかを確認します。
出典
- Security update available for Adobe Commerce | APSB26-146 – Adobe
- Urgent Action Required: Critical Security Update Available for Adobe Commerce (APSB26-146) – Adobe
- Security update available for Adobe Commerce | APSB26-138 – Adobe
- Security updates available for Adobe Experience Manager | APSB26-98 – Adobe
- Security updates available for Adobe ColdFusion | APSB26-119 – Adobe
- Security update available for Adobe Photoshop | APSB26-130 – Adobe
- Security updates available for Adobe Illustrator | APSB26-131 – Adobe
- Security updates available for Adobe Animate | APSB26-132 – Adobe
- Security update available for Adobe Photoshop Mobile | APSB26-136 – Adobe
- Security update available for Adobe Acrobat and Reader | APSB26-141 – Adobe
- Security update available for Adobe Campaign Classic | APSB26-142 – Adobe
- Priority and Severity rating systems for Security Bulletins – Adobe
- StyleSmuggler: Magento and Adobe Commerce 0-day RCE (CVE-2026-75650) under active attack – Sansec
- Adobe Patches Over 170 Vulnerabilities, Including Commerce Zero-Day – SecurityWeek
関連記事
AI コーディングエディタ Cursorに深刻な脆弱性(CVE-2026-50548、CVE-2026-50549)-DuneSlide
ServiceNowの脆弱性 CVE-2026-6875、パッチ翌日のPoC公開から4日でサイバー攻撃へ悪用
Chromeウェブストアに737個の偽VPN拡張機能、有名ブランドを装いSOCKS5プロキシへ通信を誘導 7万5,000件超がインストール
九州電力送配電、最大1,090万口分の顧客の個人情報入り外部記憶媒体を紛失-需要者名・住所・使用電力量データなど保存
なぜパワハラは内部不正を生むのか―犯罪心理学者が解説する「モノ言えぬ組織」のセキュリティリスク
ジュエリーブランドPandora（パンドラ)が情報漏洩を公表-Salesforceを狙った一連の攻撃で顧客情報が流出
経産省、脆弱性に関するパートナーシップガイドラインに則した対応を改めて要請
英機密ネットワークへの中国による不正アクセスは発生していない-元NCSC長官シーアン・マーティン氏が否定
AI コーディング エージェント 10種に共通する構造的欠陥 GuardFall-数十年前のBashの欠陥がガードレールを回避
