脆弱性対応ウォッチ重大・クリティカル脆弱性のクラウド別対応まとめ
最新更新履歴CriticalHigh回避策のみパッチありAWSGCPAzureLinux
Critical CVSS 9.3 NEW KEV 悪用確認
CVE-2026-48356

Adobe Commerce / Magento の危険なファイルの無制限アップロード（PolyShell・KEV・悪用確認）

情報取得日: 2026/10/27・本ページは公開情報の非公式まとめです

CVE IDCVE-2026-48356
製品Adobe / Adobe Commerce / Magento Open Source / Adobe Commerce B2B（2026年7月のセキュリティ更新 APSB26-73 未適用の版）
CVSS9.3（Critical）
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
種別 (CWE)CWE-434 危険な種類のファイルの無制限アップロード
登録／公開日2026/10/27
KEV 期限2026/11/10 まで（米国連邦機関向け目安）
推奨対応ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
出典https://nvd.nist.gov/vuln/detail/CVE-2026-48356

概要

**EC サイト基盤 Adobe Commerce / Magento Open Source に、危険な種類のファイルを制限なくアップロードできる欠陥がある。** Adobe の速報 APSB26-73（2026年7月14日）によれば認証は不要で、成功すると権限昇格に至る。NVD の記述では、被害者に細工した URL を開かせるなどの操作を要し、現在の利用者の権限で任意のコードを実行され得る。 **悪用の状況。** 7月の速報の時点で Adobe は「悪用は把握していない」としていたが、CISA は2026年10月27日に KEV へ収載した（是正期限 **2026年11月10日**）。Sansec の調査（2026年10月24日）は、この欠陥を「PolyShell」と呼び、攻撃者が Web シェルのアップロードに使い、APSB26-73 未適用の店舗が侵害されていたと報告している。 **評価値。** NVD の CVSS 3.1 は **9.3 Critical**（AV:N/AC:L/PR:N/UI:R/S:C）。Adobe 自身の採点は 9.6 Critical。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新） 下の表は環境ごとの補足です。
環境対応状況対応方法・備考
AWS (ECS/EC2) パッチあり（アプリ更新）
EC2 / ECS / EKS で動かしている Adobe Commerce / Magento を APSB26-73 の修正版（各系列の 2026-jul 版）へ上げ、pub/media 配下の不審なファイルを点検する。
AWS から本 CVE 個別の速報は確認できていない（2026-10-28 時点）。利用者が運用するアプリの更新である。コンテナはイメージを作り直さないと古いコードが残る。
参照リンク
GCP パッチあり（アプリ更新）
Compute Engine / GKE 上の Adobe Commerce / Magento を APSB26-73 の修正版へ上げる。
GCP から本 CVE 個別の速報は確認できていない（2026-10-28 時点）。composer.lock を含めてデプロイ元を直す。
参照リンク
Azure パッチあり（アプリ更新）
Azure VM / AKS 上の Adobe Commerce / Magento を APSB26-73 の修正版へ上げる。
Azure から本 CVE 個別の速報は確認できていない（2026-10-28 時点）。
参照リンク
Linux パッチあり（アプリ更新）
composer で管理するアプリなので、OS の更新では直らない。APSB26-73 の修正版へ上げ、キャッシュのクリアとデプロイまで完了させる。
ディストリビューションのパッケージの対象ではない。侵害の確認手順は Sansec の調査（2026-10-24）に詳しい。
参照リンク

解決の方向性（パッチ／回避策／代替）

**APSB26-73 の修正版へ上げる。** Adobe の速報が示す修正版は、Adobe Commerce が 2.4.9-2026-jul / 2.4.8-2026-jul / 2.4.7-2026-jul / 2.4.6-2026-jul / 2.4.5-2026-jul / 2.4.4-2026-jul、Magento Open Source が 2.4.9-2026-jul / 2.4.8-2026-jul / 2.4.7-2026-jul / 2.4.6-2026-jul、Adobe Commerce B2B が 1.5.3-2026-jul など各系列の 2026-jul 版。影響版は Adobe Commerce 2.4.8-p5 以前・2.4.7-p10 以前・2.4.6-p15 以前など（速報の表を参照）。版は `bin/magento --version` か composer.lock で確かめる。 **侵害の確認（Sansec の推奨）。** 悪用が確認されているので、更新だけで終わりにしない。 - `pub/media/custom_options/` と `pub/media/customer_address/` に見覚えの無いファイルが無いか、`accesson.php` などの Web シェルが無いかを調べる - データベースの `cms_block` / `cms_page` に外部スクリプトを読み込むコードが差し込まれていないか確認する - 管理者ユーザー一覧に見覚えの無いアカウントが無いか確認する - 侵害の痕跡があれば、Web シェルの削除だけでは足りないので、データベース・管理者・API 連携の資格情報を入れ替える 2025年の SessionReaper（CVE-2025-54236・APSB25-88）も同じ攻撃者に使われているので、合わせて適用を確かめる。 **完了条件**は、（1）APSB26-73 の修正版を適用済み、（2）アップロード先と CMS ブロックの点検を終えた、の2点である。

よくある質問（CVE-2026-48356）

CVE-2026-48356（Adobe Commerce / Magento Open Source / Adobe Commerce B2B）の影響は？

Critical（CVSS 9.3）に分類されるAdobe Adobe Commerce / Magento Open Source / Adobe Commerce B2B（2026年7月のセキュリティ更新 APSB26-73 未適用の版）の脆弱性です。**EC サイト基盤 Adobe Commerce / Magento Open Source に、危険な種類のファイルを制限なくアップロードできる欠陥がある。** Adobe の速報 APSB26-73（2026年7月14日）によれば認証は不要で、成功すると権限昇格に至る。NVD の記述では、被害者に細工した URL を開かせるなどの操作を要し、現在の利用者の権限で任意のコードを実行され得る。 **悪用の状況。** 7月の速報の時点で Adobe は「悪用は把握していない」としていたが、CISA は2026年10月27日に KEV へ収載した（是正期限 **2026年11月10日**）。Sansec の調査（2026年10月24日）は、この欠陥を「PolyShell」と呼び、攻撃者が Web シェルのアップロードに使い、APSB26-73 未適用の店舗が侵害されていたと報告している。 **評価値。** NVD の CVSS 3.1 は **9.3 Critical**（AV:N/AC:L/PR:N/UI:R/S:C）。Adobe 自身の採点は 9.6 Critical。

CVE-2026-48356 の対応方法・回避策は？

**APSB26-73 の修正版へ上げる。** Adobe の速報が示す修正版は、Adobe Commerce が 2.4.9-2026-jul / 2.4.8-2026-jul / 2.4.7-2026-jul / 2.4.6-2026-jul / 2.4.5-2026-jul / 2.4.4-2026-jul、Magento Open Source が 2.4.9-2026-jul / 2.4.8-2026-jul / 2.4.7-2026-jul / 2.4.6-2026-jul、Adobe Commerce B2B が 1.5.3-2026-jul など各系列の 2026-jul 版。影響版は Adobe Commerce 2.4.8-p5 以前・2.4.7-p10 以前・2.4.6-p15 以前など（速報の表を参照）。版は `bin/magento --version` か composer.lock で確かめる。 **侵害の確認（Sansec の推奨）。** 悪用が確認されているので、更新だけで終わりにしない。 - `pub/media/custom_options/` と `pub/media/customer_address/` に見覚えの無いファイルが無いか、`accesson.php` などの Web シェルが無いかを調べる - データベースの `cms_block` / `cms_page` に外部スクリプトを読み込むコードが差し込まれていないか確認する - 管理者ユーザー一覧に見覚えの無いアカウントが無いか確認する - 侵害の痕跡があれば、Web シェルの削除だけでは足りないので、データベース・管理者・API 連携の資格情報を入れ替える 2025年の SessionReaper（CVE-2025-54236・APSB25-88）も同じ攻撃者に使われているので、合わせて適用を確かめる。 **完了条件**は、（1）APSB26-73 の修正版を適用済み、（2）アップロード先と CMS ブロックの点検を終えた、の2点である。

自分の環境が CVE-2026-48356 の影響を受けるか確認するには？

Adobe Adobe Commerce / Magento Open Source / Adobe Commerce B2B（2026年7月のセキュリティ更新 APSB26-73 未適用の版） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-48356）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-48356 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/11/10 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。

参考情報（出典）

本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。

ベンダー公式・PSIRT アドバイザリ
CISA KEV（悪用確認・対応期限・ランサム利用の出典）
NVD（CVE 基本情報・CVSS スコアの出典）
免責: 本ページは CISA KEV・NVD・各ベンダー公式アドバイザリ等の公開情報をもとにした非公式まとめです。修正バージョンや対応可否は変更される場合があります。実際の対応は必ず 出典元および各ベンダー公式情報・自環境で確認してください。

« 一覧に戻る