悪用報告あり2026年10月29日（木）
Adobe Commerceのアップロード脆弱性が悪用、店舗の更新とアカウントの確認を
CISAは2026年10月27日、CVE-2026-48356を悪用が確認された脆弱性の一覧に追加しました。店舗の環境、委託先、関連モジュールを確認してください。
本文
Adobeによると、危険な形式のファイルをアップロードでき、権限昇格につながるおそれがあります。悪用にはユーザーの操作が必要ですが、攻撃者が事前にログインする必要はありません。Adobeの勧告ではCVSS v3.1で9.6、AdobeのCNA記録では同じCVSS v3.1で9.3です。可用性への影響の評価が異なります。
APSB26-73には、Adobe Commerce、Adobe Commerce B2B、Magento Open Sourceの系列ごとに7月のセキュリティ更新が示されています。Adobe Commerce Eventsの対象は1.6.0から1.20.0で、修正版は1.21.0です。勧告の表で対象パッケージを確認し、その後の更新も確認してください。
- 01
アップロード経路に到達
未認証の攻撃者が脆弱な店舗や関連コンポーネントに接続します。
- 02
利用者の操作を誘う
悪用には利用者の操作が必要です。
- 03
権限を拡大
取得した権限によっては管理機能や注文・顧客データに影響します。
対応の手順：外部との境界から内部システムまで
- 01
店舗を棚卸しして更新
自社運用、委託先、コンテナ、予備環境と関連拡張を確認します。
対応策を見る関連情報 1件
TWISA会員企業の対策
店舗を棚卸しして更新
自社運用、委託先、コンテナ、予備環境と関連拡張を確認します。
- 02
管理経路を制限
管理画面への接続元を制限し、多要素認証とロールを確認します。
対応策を見る関連情報 1件
TWISA会員企業の対策
管理経路を制限
管理画面への接続元を制限し、多要素認証とロールを確認します。
- 03
記録を保全して調査
アップロード、不明なファイル、ログイン、設定変更を調べます。
対応策を見る関連情報 1件
TWISA会員企業の対策
記録を保全して調査
アップロード、不明なファイル、ログイン、設定変更を調べます。
- 04
復旧とデータアクセスを検証
信頼できるバックアップからの復元を試し、顧客・注文データへのアクセスを確認します。
対応策を見る関連情報 1件
TWISA会員企業の対策
復旧とデータアクセスを検証
信頼できるバックアップからの復元を試し、顧客・注文データへのアクセスを確認します。
店舗サイト、管理画面、顧客データ
許可された業務通信のみを通し、各層で防御を行います。
- 01
店舗を棚卸しして更新
店舗サイト、管理画面、顧客データ
対策を検証自社運用、委託先、コンテナ、予備環境と関連拡張を確認します。
- 02
管理経路を制限
店舗サイト、管理画面、顧客データ
対策を検証管理画面への接続元を制限し、多要素認証とロールを確認します。
- 03
記録を保全して調査
店舗サイト、管理画面、顧客データ
対策を検証アップロード、不明なファイル、ログイン、設定変更を調べます。
各層のログと通信データを集約し、監視と対応に活用します。
- 復旧とデータアクセスを検証信頼できるバックアップからの復元を試し、顧客・注文データへのアクセスを確認します。
テストと検証
承認を得て資産の探索、脆弱性スキャン、侵入・APIテスト、攻撃シミュレーションを行い、変更後に再テストして監視結果を実際の動作と照合します。 WAFを使う場合はリクエスト、アラート、遮断、バックエンドの結果を個別に確認します。
TWISA会員のソリューション
店舗を棚卸しして更新
自社運用、委託先、コンテナ、予備環境と関連拡張を確認します。
管理経路を制限
管理画面への接続元を制限し、多要素認証とロールを確認します。
記録を保全して調査
アップロード、不明なファイル、ログイン、設定変更を調べます。
復旧とデータアクセスを検証
信頼できるバックアップからの復元を試し、顧客・注文データへのアクセスを確認します。
情報源と関連資料
更新日：2026/10/29。製品のサポート状況と修正情報は、ベンダーの最新案内をご確認ください。