Adobe CommerceとMagento Open Sourceの危険なファイルアップロード制限不備（CVE-2026-48356、CVSS 9.6）がCISA KEVに追加。Adobeの2026年7月修正更新を適用し、不審なアップロードや権限変更を調査する。
30秒でわかる / THE SIGNAL
Adobe CommerceとMagento Open Sourceの危険なファイルアップロード制限不備（CVE-2026-48356、CVSS 9.6）がCISA KEVに追加。Adobeの2026年7月修正更新を適用し、不審なアップロードや権限変更を調査する。
CISAが悪用を確認した重大脆弱性
CVE-2026-48356は危険なファイル形式のアップロード制限不備（CWE-434）。Adobeの評価はCVSS v3.1 9.6（Critical）。認証は不要だが、悪用には利用者が細工されたURLにアクセスするなどの操作が必要となる。権限昇格につながる恐れがある。CISA KEVへの登録は実際の悪用が確認されたことを意味するが、攻撃者や被害規模を特定するものではない。一次情報：https://www.adobe.com/trust/security/products/commerce/apsb26-73.html / https://www.cisa.gov/known-exploited-vulnerabilities-catalog
影響するバージョン
Adobe Commerceは2.4.9、2.4.8-p5以前、2.4.7-p10以前、2.4.6-p15以前、2.4.5-p17以前、2.4.4-p18以前。Magento Open Sourceは2.4.9、2.4.8-p5以前、2.4.7-p10以前、2.4.6-p15以前。Adobe Commerce B2BやAdobe Commerce EventsにもAPSB26-73で対象範囲が示されている。詳細は公式勧告で利用中の構成を確認する。
修正版と推奨対応
Adobe CommerceおよびMagento Open Sourceは、利用系列に対応する2.4.x-2026-julの修正更新、または修正を含む後続版を適用する。Adobe Commerce B2Bは該当する1.x-2026-jul更新、Adobe Commerce Eventsは1.21.0を確認する。公開ECサイトを優先し、アップロード履歴、権限変更、ログイン履歴など不審な兆候を調査する。
WORK SIGNALの視点
決済・顧客情報を扱うEC基盤では、修正が公開されてから実際の悪用が確認されるまでの期間にもリスクが残る。パッチ適用状況と侵害兆候の両方を確認することが重要だ。