Adobe Commerce/Magento の入力検証不備でセッション奪取（悪用確認済み）

Critical（CVSS 9.1）に分類されるAdobe Adobe Commerce / Magento Open Sourceの脆弱性です。Adobe Commerce の入力検証不備で、攻撃が成功するとセッションの乗っ取りに至り、機密性と完全性への影響が High まで上がる。Adobe はユーザー操作が不要であると明記している。Adobe の技術情報では、Commerce の REST API 経由で顧客アカウントを乗っ取れる問題と説明されている。影響バージョンは 2.4.9-alpha2 / 2.4.8-p2 / 2.4.7-p7 / 2.4.6-p12 / 2.4.5-p14 / 2.4.4-p15 とそれ以前で、Adobe の技術情報では Adobe Commerce B2B（1.5.3-alpha2 以前など）と Magento Open Source、さらに Custom Attributes Serializable モジュール（magento/out-of-process-custom-attributes）の 0.1.0 から 0.4.0 も対象として列挙されている。是正は Adobe の速報 APSB25-88 と、ホットフィックス VULN-32437-2-4-X-patch の適用である。Adobe Commerce on Cloud の利用者に対しては Adobe が WAF ルールを配備済みだと説明しているが、それだけでは足りず示された是正手順をすべて実施する必要があるとも明記している。CVSS は CNA の Adobe による 9.1 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）のみで、NVD の Primary スコアは無い。CWE は CWE-20。Adobe は当初「実際に悪用された証拠は無い」と記していたが、その後 CISA KEV に 2025-10-24 に収載された。是正期限は 2025-11-14、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

判定は版とモジュール構成の2点を見る。版は bin/magento --version、あるいは composer.lock の magento/product-community-edition もしくは product-enterprise-edition のバージョンで確定させ、Adobe が列挙している系列ごとの上限（2.4.8-p2 以前、2.4.7-p7 以前など）に入っていないかを確認する。もう1つは Custom Attributes Serializable モジュールの有無で、Adobe の技術情報は、このモジュールが入っていなければホットフィックス VULN-32437-2-4-X-patch の適用だけでよく、0.1.0 から 0.3.0 が入っているなら composer require magento/out-of-process-custom-attributes=0.4.0 --with-dependencies で 0.4.0 以上へ上げるよう指示している。ここが見落としの起きやすい箇所で、パッチだけ当ててモジュールを放置すると塞ぎ切れない。Adobe Commerce on Cloud の場合、Adobe 側が WAF ルールを入れているため一時的に守られているように見えるが、Adobe 自身が「示された是正手順をすべて実施しなければ環境は露出したままで、Adobe による支援も限定される」と書いているので、WAF を理由に適用を先送りしてはいけない。Managed Services 利用なら担当の Customer Success Engineer に手順を確認できる。完了条件は、（1）ホットフィックスもしくは修正済みリリースが適用されていること、（2）該当モジュールが 0.4.0 以上（または未導入）であること、（3）KEV 収載＝実際に悪用されているのでセッション奪取後の後始末が済んでいることの3点である。後始末としては、セッションを奪われる型なので全セッションの無効化、管理者パスワードと API 連携用の資格情報・アクセストークンの再発行、管理者ユーザー一覧に見覚えの無いアカウントが増えていないかの確認を行う。EC サイトは決済情報を盗むスクリプトを仕込まれる標的になりやすいので、テーマや CMS ブロック、レイアウト XML に外部スクリプトの読み込みが混ざっていないかも合わせて見ておく。是正期限 2025-11-14 は既に過ぎているため、未対応なら期限超過として扱う。

Adobe Adobe Commerce / Magento Open Source を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-54236）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/14 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。