Adobe Commerce・Magentoの欠陥が、悪用確認の一覧に――修正は7月、攻撃の報告は3月から。確認す⁠る⁠場⁠所

米国のCISAは、2026年10月27日に、Adobe CommerceとMagento Open Sourceの脆弱性（CVE-2026-48356）を、「悪用が確認された脆弱性（KEV）」のカタログに登録しました。米国の連邦機関の対処期限は、11月10日です（CISA）。セキュリティ企業のSansecは、この欠陥を「PolyShell」と呼んでい⁠ま⁠す⁠。

修正版は、7月14日に出ています。一方で、Sansecは、3月から攻撃を観測したと報告しています。さらに、Adobeの告知、CVEの記録、Sansecの報告で、この欠陥の説明が、かなり違います。どこまでが確かで、どこからが各社の推定なのかを、分けて整理しま⁠し⁠た⁠。

自社で、Adobe CommerceやMagento（Magento Open Source）を運用している会社の、確認の手がかりになる記事です。情報は、2026年10月30日の時点のものです。同じ日にKEVへ入った、Brotliの欠陥も、あわせてご覧くだ⁠さ⁠い⁠。

日本語で出回っている情報には、原文と異なる訳や要約が、かなり見受けられます。この記事は、一次情報を私たちも原文で確認して書いていますが、読者の皆さんも、各社の原文でのご確認をお勧めします。出典は、記述ごとに、そばへ付けてい⁠ま⁠す⁠。

要点

• 欠陥は、ShopのREST API（ゲストのカート）が、ファイルのアップロードを受け付けてしまう、というものです。Sansecによると、認証なしで、PHPのファイルを置くことができ、サーバーの設定によっては、そのまま実行され⁠ま⁠す⁠。
• 修正は、Adobeの更新（APSB26-73、7月14日）に入っています。版の名前は、2.4.8-2026-jul のように、「-2026-jul」で終わるものです。2.4.8-p5 のような「-p」の番号の版は、最新でも、Adobeの表では、対象のまま⁠で⁠す⁠。
• 「PolyShellで、953店舗が被害」と読める報道がありますが、Sansecの原文に、その記載はありません。953は、ある犯行グループが、2025年7月以降に使っているコードの設置数で、入口は、特定の1件に絞られていま⁠せ⁠ん⁠。
• 3つの情報源で、危険度の説明が違います。Adobeの告知とCVEの記録には、「被害者の操作が必要」とありますが、Sansecが示す攻撃は、被害者の操作を必要としま⁠せ⁠ん⁠。
• 修正版を入れただけでは、すでに入られた店は、直りません。ファイルとデータベースも、確認する必要があり⁠ま⁠す⁠。

何が起⁠き⁠た⁠か

CISAの登録の理由は、「悪用の証拠」です。ただし、CISAは、誰が、どこを、何件、という中身は示していま⁠せ⁠ん⁠。

3つの情報源で、説明⁠が⁠違⁠う

（この表は、Adobe、CVE記録、Sansecの原文を読んで、私が作りま⁠し⁠た⁠）

Sansecは、この欠陥にCVE-2026-48356を当てています。私が読んだ範囲では、Adobeの告知にも、CVEの記録にも、PolyShellの名前は出てきません。同じ欠陥の説明が、これほど違う理由は、私は確認できていません。実務で大事なのは、「被害者の操作が必要」という記載を理由に、対応の優先度を下げないことです。Sansecが示す攻撃は、操作を必要としま⁠せ⁠ん⁠。

953店舗という数字の⁠読⁠み⁠方

報道には、「CVE-2026-48356を悪用した攻撃で、少なくとも953店舗が被害」と読める書き方があります（たとえば、Security Affairs）。Sansecの原文には、その記載がありません（Sanse⁠c⁠）⁠。

• 953は、ある犯行グループが、2025年7月以降に、CMSブロックへコードを仕込んだ店の数です。数え方は、書かれていま⁠せ⁠ん⁠。
• 入口は、1つではありません。3月の波では、PolyShellで設置したウェブシェルから、コードが入れられた、とSansecは書いています。10月の書き換えに、新しい脆弱性は使われていない、とも書いてい⁠ま⁠す⁠。
• 修正が足りない169店舗のうち、102店舗は、PolyShellか、別の欠陥（SessionReaper、CVE-2025-54236）で、ファイルを置かれていま⁠し⁠た⁠。
• ほかの数字も、Sansecが、自社の防御製品（Shield）で観測した範囲の話です。たとえば、「79.5%の店が、攻撃の対象になった」は、一方では「すべての店」、別の箇所では「保護している店」を、分母にしています（Sansec 3月17⁠日⁠）⁠。

Sansecは、防御製品やスキャナーも売っています。調査は具体的で有用ですが、数字は、自社の観測にもとづく推定として読むのが、無難⁠で⁠す⁠。

どこが、影響を受け⁠る⁠の⁠か

Adobeの告知では、次の版が対象で、次の版が修正版です（Adob⁠e⁠）⁠。

読むときの注意点が、2つあり⁠ま⁠す⁠。

• 修正版の名前は、「-pN」ではなく、「-2026-jul」です。「-p」の番号が、いちばん新しくても、-2026-jul が付いていなければ、修正は入っていません。これは、Adobeの表を、そのまま読んだ結果⁠で⁠す⁠。
• Sansecは、5月に、「2.4.9には修正が入っている」と書いています。一方、Adobeの表は、2.4.9を対象にして、修正版を 2.4.9-2026-jul としています。この食い違いは、確認できていません。自分の系統の -2026-jul へ上げれば、どちらの説明でも、修正が含まれる版になり⁠ま⁠す⁠。

GitLabのように、更新したつもりで、直っていなかった事例は、別の記事にまとめてい⁠ま⁠す⁠。

いま、や⁠る⁠こ⁠と

1. 版を確認して、修正版へ⁠上⁠げ⁠る

bin/magento --version

上の表と照らして、-2026-jul が付いた版へ、上げます。Magento Open Sourceの2.4.5以前は、Adobeの告知に、対象としても、修正版としても、載っていません（理由は、書かれていません）。この系統を使っているなら、保守の担当者か、Adobeに、状況を確認してくだ⁠さ⁠い⁠。

2. 入れられたファイルがないか、確⁠認⁠す⁠る

Sansecは、アップロード先のフォルダに、PHPのファイルがあれば、侵害の手がかりになる、としています（Sansec）。次は、その確認の例です（私が書いた例です。環境に合わせて、直してくださ⁠い⁠）⁠。

find pub/media/custom_options -type f \( -name '*.php' -o -name '*.phtml' -o -name '*.phar' \)
find . -name 'accesson.php'

pub/media/custom_options に、PHPの類いのファイルがあれば、侵害されているものとして、扱ってくだ⁠さ⁠い⁠。

3. CMSブロックと、管理者アカウントを確⁠認⁠す⁠る

Sansecが、10月の報告で、検索の手がかりとして挙げているのは、fpCode、se_referrer、localStorage.getItem です（Sansec）。次は、その確認の例です（私が書いた例で⁠す⁠）⁠。

SELECT block_id, identifier, update_time FROM cms_block
WHERE content LIKE '%fpCode%' OR content LIKE '%se_referrer%' OR content LIKE '%localStorage.getItem%';
SELECT page_id, identifier, update_time FROM cms_page
WHERE content LIKE '%fpCode%' OR content LIKE '%se_referrer%' OR content LIKE '%localStorage.getItem%';
SELECT username, email, created FROM admin_user;

見覚えのない管理者アカウントがないかも、あわせて確認し⁠ま⁠す⁠。

4. 見つかっ⁠た⁠と⁠き

• Sansecによると、仕込まれたスクリプトを消しても、攻撃者の入口は、残り⁠ま⁠す⁠。
• データベース、管理者、API連携のパスワードを、すべて交換します（Sansecの推⁠奨⁠）⁠。
• 消す前に、現状を保存しておくと、あとで調べられます（私の提案で⁠す⁠）⁠。

5. 更新まで時間がかかるときの、⁠つ⁠な⁠ぎ

Sansecは、アップロード先で、PHPが実行されない設定にすること（nginxは、PHPの設定より前に、そのフォルダを拒否する。Apacheは、.htaccess で php_flag engine 0 と Deny from all）と、WAFでAPIの段階で止めることを、挙げています。ただし、フォルダへのアクセスを止めても、アップロードそのものは、防げません。この設定は、私は検証していま⁠せ⁠ん⁠。

未確⁠認⁠の⁠点

• Adobeの告知、CVEの記録、Sansecの説明が食い違う理由は、確認できていま⁠せ⁠ん⁠。
• Adobeの告知は、7月14日に、「悪用は把握していない」と書き、8月11日に更新され、10月30日に私が読んだ時点でも、その文言は残っています。3月から攻撃を観測したと書くSansecの報告との関係は、私は確認できていま⁠せ⁠ん⁠。
• Sansecの10月の報告は、953店舗の入口を、1つに特定していません。Sansecは、「修正が入った版（2.4.7-p10）の店にも、コードが入っていた」とも書いています。Adobeの表では、2.4.7-p10は、対象の版です。Sansecの言う「修正済み」の意味は、私は確認できていま⁠せ⁠ん⁠。
• Adobe Commerce Cloud（Adobeが運用する環境）で、修正が自動で入るのかは、Adobeの告知に、書かれていま⁠せ⁠ん⁠。
• CISAは、誰が、どこを、何件、悪用したかを示していません。ランサムウェアでの利用は、KEVのデータでは「不明」⁠で⁠す⁠。
• Sansecの手がかり（ファイル名、キー名）は、実際の店では、試していま⁠せ⁠ん⁠。

関⁠連⁠記⁠事

• Brotliの脆弱性はNode.jsだけの問題ではない――確認する場所と、悪用の現状：同じ10月27日に、KEVへ入った、もう1件。製品が同梱する部品⁠の⁠欠⁠陥
• GitLabの深刻な欠陥は、2件ある――10月12日の修正版では足りない理由と、確認すること：更新したつもりで、直っていなかった事例。版の番号だけでは、分からないことがあ⁠り⁠ま⁠す
• PHP2Shellの報道と、一次情報で、合っていなかった点：報道の数字と、一次情報の食い違いを、どう⁠読⁠む⁠か
• VPN、メールゲートウェイ、リモート管理ツール――今月、悪用が確認された「入口の機器」と、いま確認すること：今月、KEVへ入った、境界の機器⁠の⁠一⁠覧

自社のECサイトで、版の確認や、更新、侵害の確認でお困りの方は、お問い合わせくだ⁠さ⁠い⁠。