情報取得日: 2026/09/08／最終確認: 2026/09/09・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-75650 |
|---|---|
| 製品 | Adobe / Adobe Commerce および Magento Open Source。EC サイト構築の商用/OSS プラットフォームで、決済とカード情報の入り口に立つ。NVD の適用範囲は cpe:2.3:a:adobe:commerce、cpe:2.3:a:adobe:commerce_b2b、cpe:2.3:a:adobe:magento（open_source）で、パッチレベル単位に細かく列挙されている。 |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-1336 テンプレートエンジンで使われる特殊要素の不適切な無害化（テンプレートインジェクション） |
| 登録／公開日 | 2026/09/08 |
| KEV 期限 | 2026/09/11 まで（米国連邦機関向け目安） |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-75650 |
NVD の記述はこうである。「Adobe Commerce は、テンプレートエンジンで使われる特殊要素の不適切な無害化の脆弱性の影響を受け、**現在のユーザーの権限で任意コード実行に至りうる**。攻撃者はこの脆弱性を悪用して任意のコードを実行できる。**この問題の悪用に利用者の操作は不要である。スコープは変更される（Scope is changed）**」。 **CVSS は 10.0（Critical）で、これは取りうる最高値である。** ベクタは **AV:N / AC:L / PR:N / UI:N / S:C / C:H / I:H / A:H**。読み下すと、**ネットワークから届き、条件が特殊でなく、認証も利用者の操作もいらず、しかも影響が脆弱なコンポーネントの境界を越えて広がる（S:C）**、という組み合わせである。**PR:N（権限不要）と S:C（スコープ変更）が同時に立つことは多くない**ので、この 10.0 は「重大の中でも上限」を意味する。スコアの出所は **Adobe 自身の PSIRT（psirt@adobe.com）**である。 **テンプレートインジェクション（CWE-1336）が EC で持つ意味は、通常の RCE より重い。** Magento 系はメール文面・商品説明・CMS ブロックなどでテンプレート構文を評価する設計になっており、そこへ攻撃者の文字列が無害化されずに入ると、**テンプレートの評価が任意コードの実行に化ける**。そして到達するのは、**決済処理と注文データを持つプロセス**である。Magento を狙う攻撃は歴史的に、サーバを壊すのではなく**チェックアウト画面にカード情報を抜くスクリプトを仕込む（いわゆる Magecart 型）**方向に進んできた。侵入されても表面上は何も壊れないため、気づきにくい。 **CISA は 2026-09-08 にこれを KEV へ収載した。** 収載は「実際に悪用が確認された」という意味であり、**是正期限は 2026-09-11**（収載からわずか3日）である。CISA が期限を3日に切るのは、悪用が広く進行しているときの扱いである。 **Adobe のアドバイザリは APSB26-146。** NVD が参照する Patch / Vendor Advisory はこの1本で、適用すべきパッチレベルはここに載る。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
AWS 上（EC2 / ECS / EKS / Elastic Beanstalk 等）で自運用している Adobe Commerce / Magento に、**Adobe の APSB26-146 が指定するパッチを適用する**。AWS 側の対応で直るものではない。
CloudFront / ALB の前段に WAF を置いている場合は、テンプレート構文を含むリクエストの遮断ルールを暫定で入れる。管理画面のパスを別のリスナールール・別のセキュリティグループに分離し、社内 IP と VPN に限定する。RDS 側のスロークエリログ・監査ログで想定外のテーブル操作が無いかも見る。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine / GKE / Cloud Run 上で運用している Adobe Commerce / Magento に **APSB26-146 のパッチを適用する**。プラットフォーム側の修正では直らない。
Cloud Armor で `{{` を含むリクエストのルールを暫定適用し、管理画面のパスへは IAP か送信元 IP 制限を掛ける。Cloud Logging で `pub/` 配下への予期しない書き込みと、外向きの新規通信先を確認する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM / AKS / App Service 上で運用している Adobe Commerce / Magento に **APSB26-146 のパッチを適用する**。
Azure Front Door / Application Gateway の WAF でテンプレート構文の遮断ルールを暫定で有効にし、管理画面へのアクセスを Private Endpoint か IP 制限に寄せる。Defender for Cloud のファイル整合性監視があれば Web ルート配下の新規ファイルを見る。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
**ディストリのパッケージ更新では直らない。** Adobe Commerce / Magento はアプリケーション本体の更新（Composer 経由のパッチ適用、または Adobe が配布するパッチファイル）で対応する。適用すべきパッチレベルは **APSB26-146** に従う。
適用後に管理画面のバージョン表示か `bin/magento --version` で実際の版を確認する。あわせて `pub/`・`var/`・`app/code/` の新規ファイル、`app/etc/env.php` の差分、cron 定義、管理者アカウントの追加を点検する。チェックアウトページのスクリプト一覧をブラウザで実際に取得して、想定外のドメインが無いことを確認する。
参照リンク
|
対応は **Adobe のセキュリティ速報 APSB26-146 が指定するパッチを当てる**ことである。NVD の適用範囲は Commerce・Commerce B2B・Magento Open Source をパッチレベル単位で列挙しており、**「2.4.x を使っているから安全」という判定はできない**。自分の環境の版とパッチレベル（例: 2.4.6-p14 のような表記）を確認してから、APSB26-146 の表と突き合わせる。 **Magento Open Source は Adobe Commerce と同じ CVE の対象である。** 商用版だけの話と読まないこと。NVD の cpe は `magento:*:open_source` を明示的に含んでいる。 **当てる前にできる緩和は、テンプレート評価に外部入力が届く経路を止めることである。** 具体的には、①**管理画面（`/admin` 等のバックエンド URL）をインターネットから直接見えないようにする**（IP 制限・VPN・WAF のルール）、②**WAF でテンプレート構文（`{{`）を含むリクエストを検知・遮断する**、③運用上不要な CMS ブロック・メールテンプレートの編集権限を絞る。ただし **PR:N である以上、管理画面を閉じただけで安全になるとは限らない**ので、緩和は「パッチまでの時間稼ぎ」として扱う。 **侵害の確認は、EC の性質に合わせて2方向で行う。** 1つめは**サーバ側**である。`pub/` `var/` `app/code/` 配下に**身に覚えのない PHP ファイル**が増えていないか、`app/etc/env.php` や cron の定義が書き換えられていないかを見る。Web サーバのアクセスログで、**`{{` を含む POST / GET** や、テンプレートを扱うエンドポイントへの不審な連続アクセスを探す。 2つめは**フロント側**で、こちらが EC 固有である。**チェックアウトページで読み込まれる JavaScript の一覧を実際にブラウザで取得し、想定外のドメインが混ざっていないか**を確認する。加えて **CMS ブロック・レイアウト XML・`design/head/includes`（管理画面から任意のスクリプトを差し込める箇所）**を目視する。カード情報の窃取は表示にもログにも異常を残さないため、**「壊れていないから無事」とは判断できない**。 **是正期限 2026-09-11 は米国連邦機関向けの期限だが、CVSS 10.0 かつ悪用確認済みという条件では、民間でも同じ緊急度で扱うのが妥当である。** 決済を扱うサイトでは、侵害が疑われる場合、パッチ適用と並行して**カード会社・決済代行への連絡手順**を確認しておく。
Critical（CVSS 10.0）に分類されるAdobe Adobe Commerce および Magento Open Source。EC サイト構築の商用/OSS プラットフォームで、決済とカード情報の入り口に立つ。NVD の適用範囲は cpe:2.3:a:adobe:commerce、cpe:2.3:a:adobe:commerce_b2b、cpe:2.3:a:adobe:magento（open_source）で、パッチレベル単位に細かく列挙されている。の脆弱性です。NVD の記述はこうである。「Adobe Commerce は、テンプレートエンジンで使われる特殊要素の不適切な無害化の脆弱性の影響を受け、**現在のユーザーの権限で任意コード実行に至りうる**。攻撃者はこの脆弱性を悪用して任意のコードを実行できる。**この問題の悪用に利用者の操作は不要である。スコープは変更される（Scope is changed）**」。 **CVSS は 10.0（Critical）で、これは取りうる最高値である。** ベクタは **AV:N / AC:L / PR:N / UI:N / S:C / C:H / I:H / A:H**。読み下すと、**ネットワークから届き、条件が特殊でなく、認証も利用者の操作もいらず、しかも影響が脆弱なコンポーネントの境界を越えて広がる（S:C）**、という組み合わせである。**PR:N（権限不要）と S:C（スコープ変更）が同時に立つことは多くない**ので、この 10.0 は「重大の中でも上限」を意味する。スコアの出所は **Adobe 自身の PSIRT（psirt@adobe.com）**である。 **テンプレートインジェクション（CWE-1336）が EC で持つ意味は、通常の RCE より重い。** Magento 系はメール文面・商品説明・CMS ブロックなどでテンプレート構文を評価する設計になっており、そこへ攻撃者の文字列が無害化されずに入ると、**テンプレートの評価が任意コードの実行に化ける**。そして到達するのは、**決済処理と注文データを持つプロセス**である。Magento を狙う攻撃は歴史的に、サーバを壊すのではなく**チェックアウト画面にカード情報を抜くスクリプトを仕込む（いわゆる Magecart 型）**方向に進んできた。侵入されても表面上は何も壊れないため、気づきにくい。 **CISA は 2026-09-08 にこれを KEV へ収載した。** 収載は「実際に悪用が確認された」という意味であり、**是正期限は 2026-09-11**（収載からわずか3日）である。CISA が期限を3日に切るのは、悪用が広く進行しているときの扱いである。 **Adobe のアドバイザリは APSB26-146。** NVD が参照する Patch / Vendor Advisory はこの1本で、適用すべきパッチレベルはここに載る。
対応は **Adobe のセキュリティ速報 APSB26-146 が指定するパッチを当てる**ことである。NVD の適用範囲は Commerce・Commerce B2B・Magento Open Source をパッチレベル単位で列挙しており、**「2.4.x を使っているから安全」という判定はできない**。自分の環境の版とパッチレベル（例: 2.4.6-p14 のような表記）を確認してから、APSB26-146 の表と突き合わせる。 **Magento Open Source は Adobe Commerce と同じ CVE の対象である。** 商用版だけの話と読まないこと。NVD の cpe は `magento:*:open_source` を明示的に含んでいる。 **当てる前にできる緩和は、テンプレート評価に外部入力が届く経路を止めることである。** 具体的には、①**管理画面（`/admin` 等のバックエンド URL）をインターネットから直接見えないようにする**（IP 制限・VPN・WAF のルール）、②**WAF でテンプレート構文（`{{`）を含むリクエストを検知・遮断する**、③運用上不要な CMS ブロック・メールテンプレートの編集権限を絞る。ただし **PR:N である以上、管理画面を閉じただけで安全になるとは限らない**ので、緩和は「パッチまでの時間稼ぎ」として扱う。 **侵害の確認は、EC の性質に合わせて2方向で行う。** 1つめは**サーバ側**である。`pub/` `var/` `app/code/` 配下に**身に覚えのない PHP ファイル**が増えていないか、`app/etc/env.php` や cron の定義が書き換えられていないかを見る。Web サーバのアクセスログで、**`{{` を含む POST / GET** や、テンプレートを扱うエンドポイントへの不審な連続アクセスを探す。 2つめは**フロント側**で、こちらが EC 固有である。**チェックアウトページで読み込まれる JavaScript の一覧を実際にブラウザで取得し、想定外のドメインが混ざっていないか**を確認する。加えて **CMS ブロック・レイアウト XML・`design/head/includes`（管理画面から任意のスクリプトを差し込める箇所）**を目視する。カード情報の窃取は表示にもログにも異常を残さないため、**「壊れていないから無事」とは判断できない**。 **是正期限 2026-09-11 は米国連邦機関向けの期限だが、CVSS 10.0 かつ悪用確認済みという条件では、民間でも同じ緊急度で扱うのが妥当である。** 決済を扱うサイトでは、侵害が疑われる場合、パッチ適用と並行して**カード会社・決済代行への連絡手順**を確認しておく。
Adobe Adobe Commerce および Magento Open Source。EC サイト構築の商用/OSS プラットフォームで、決済とカード情報の入り口に立つ。NVD の適用範囲は cpe:2.3:a:adobe:commerce、cpe:2.3:a:adobe:commerce_b2b、cpe:2.3:a:adobe:magento（open_source）で、パッチレベル単位に細かく列挙されている。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-75650）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/11 です。早急な対応が推奨されます。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/09/09）。