Adobe Commerce / Magento の認可不備で未認証の権限昇格（CVSS 9.1・KEV）

情報取得日: 2026/09/24・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-71362
製品	Adobe / Adobe Commerce 2.4.4〜2.4.9 / Adobe Commerce B2B / Magento Open Source 2.4.6〜2.4.9（いずれも 2026-jul 以前）
CVSS	9.1（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
種別 (CWE)	CWE-863 不適切な認可
登録／公開日	2026/09/24
KEV 期限	2026/09/27 まで（米国連邦機関向け目安）
推奨対応	ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-71362

概要

Adobe のセキュリティ速報 **APSB26-92**（2026-08-11 公開）で修正された認可不備である。**Adobe Commerce に不適切な認可の脆弱性があり、権限昇格につながりうる。** KEV の説明では、利用者の操作なしに機微なリソースへの高い権限でのアクセスを得られるとされている。 **CVSS は 9.1（Critical）。** ベクタは **AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:N** で、APSB26-92 の表でも「悪用に認証は不要」「管理者権限も不要」とされている。 **影響を受ける版**（APSB26-92）: Adobe Commerce 2.4.9〜2.4.4 の各 -2026-jul 以前、Adobe Commerce B2B 1.5.3 / 1.5.2 / 1.4.2 / 1.3.4 / 1.3.3 の -2026-jul 以前、Magento Open Source 2.4.9〜2.4.6 の -2026-jul 以前。 **APSB26-92 の時点（最終更新 2026-08-18）では Adobe は実際の悪用を把握していなかった**が、CISA は 2026-09-24 に KEV へ収載し、是正期限を 2026-09-27 とした。8月の更新をまだ当てていないストアは、公開から約6週間を経て実際に狙われる段階に入ったことになる。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）参照先も共通です（一次情報）。下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	AWS 上で Adobe Commerce / Magento Open Source を自前で運用している場合、APSB26-92 の 2026-aug 更新（例: 2.4.9-2026-aug）を適用する。 AWS 側の対応で直るものではない。WAF のルールは修正の代わりにならない。参照リンク
GCP	パッチあり（アプリ更新）	Google Cloud 上で自前運用している場合、APSB26-92 の 2026-aug 更新を適用する。コンテナで運用している場合は、更新済みのイメージで作り直す。参照リンク
Azure	パッチあり（アプリ更新）	Azure 上で自前運用している場合、APSB26-92 の 2026-aug 更新を適用する。更新後に管理者アカウントと統合トークンを点検する。参照リンク
Linux	パッチあり（アプリ更新）	ディストリのパッケージ更新では直らない。 Adobe Commerce / Magento（PHP アプリケーション）自体の問題で、対応は 2026-aug のセキュリティ更新の適用である。 Composer で管理している場合は該当の -2026-aug 版へ更新する。参照リンク

解決の方向性（パッチ／回避策／代替）

**APSB26-92 の 2026-aug セキュリティ更新を適用する。** 修正版は次のとおり。 - **Adobe Commerce**: 2.4.9-2026-aug / 2.4.8-2026-aug / 2.4.7-2026-aug / 2.4.6-2026-aug / 2.4.5-2026-aug / 2.4.4-2026-aug - **Adobe Commerce B2B**: 1.5.3-2026-aug / 1.5.2-2026-aug / 1.4.2-2026-aug / 1.3.4-2026-aug / 1.3.3-2026-aug - **Magento Open Source**: 2.4.9-2026-aug / 2.4.8-2026-aug / 2.4.7-2026-aug / 2.4.6-2026-aug Adobe の優先度は「2」だが、KEV 収載で状況が変わっているので、優先度の数字ではなく是正期限に合わせて当てる。**同じ速報には CVE-2026-48413 / 48414（蓄積型 XSS・任意コード実行）など他の Critical も含まれる**ので、個別に当てるより 2026-aug の更新をまとめて適用するのが素直である。 **APSB26-92 には更新以外の回避策は載っていない。** **侵害の確認**: 権限昇格の種類なので、更新後に管理者アカウントの一覧、統合（Integration）と API トークン、最近追加された管理ユーザー、決済・配送設定やテンプレートの想定外の変更を点検する。公式の侵害指標（IoC）は速報に載っていない。

よくある質問（CVE-2026-71362）

CVE-2026-71362（Adobe Commerce 2.4.4〜2.4.9 / Adobe Commerce B2B / Magento Open Source 2.4.6〜2.4.9）の影響は？

Critical（CVSS 9.1）に分類されるAdobe Adobe Commerce 2.4.4〜2.4.9 / Adobe Commerce B2B / Magento Open Source 2.4.6〜2.4.9（いずれも 2026-jul 以前）の脆弱性です。Adobe のセキュリティ速報 **APSB26-92**（2026-08-11 公開）で修正された認可不備である。**Adobe Commerce に不適切な認可の脆弱性があり、権限昇格につながりうる。** KEV の説明では、利用者の操作なしに機微なリソースへの高い権限でのアクセスを得られるとされている。 **CVSS は 9.1（Critical）。** ベクタは **AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:N** で、APSB26-92 の表でも「悪用に認証は不要」「管理者権限も不要」とされている。 **影響を受ける版**（APSB26-92）: Adobe Commerce 2.4.9〜2.4.4 の各 -2026-jul 以前、Adobe Commerce B2B 1.5.3 / 1.5.2 / 1.4.2 / 1.3.4 / 1.3.3 の -2026-jul 以前、Magento Open Source 2.4.9〜2.4.6 の -2026-jul 以前。 **APSB26-92 の時点（最終更新 2026-08-18）では Adobe は実際の悪用を把握していなかった**が、CISA は 2026-09-24 に KEV へ収載し、是正期限を 2026-09-27 とした。8月の更新をまだ当てていないストアは、公開から約6週間を経て実際に狙われる段階に入ったことになる。

CVE-2026-71362 の対応方法・回避策は？

自分の環境が CVE-2026-71362 の影響を受けるか確認するには？

Adobe Adobe Commerce 2.4.4〜2.4.9 / Adobe Commerce B2B / Magento Open Source 2.4.6〜2.4.9（いずれも 2026-jul 以前）を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-71362）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-71362 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/27 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。