MagentoとAdobe Commerceに未修正のゼロデイ「StyleSmuggler」 — 認証なしでRCE、全現行版に影響とSansecが報告

オランダのセキュリティ企業Sansecは2026年9月5日、ECプラットフォームのMagento Open SourceとAdobe Commerceに、ログインなしでサーバー上で任意のコードを実行される未修正のゼロデイ脆弱性「StyleSmuggler」を発見したと発表した。同社はクリーンな環境で攻撃チェーン全体を再現し、2.4.9を含む全現行版に影響するとしている。最初の攻撃は9月4日に確認されており、同社は店舗が現に侵害されているとして調査途中の早期公開に踏み切った。

影響範囲 — 現行版のすべてとパッチ適用済み店舗に及ぶ

Sansecは、クリーンなMagento Open Source 2.4.7、2.4.8、2.4.9で認証不要の攻撃チェーン全体を再現した。最初の被害店舗は2.4.6-p15に2026年7月と8月のパッチを適用し、セキュリティ状態の確認でも問題なしとされていた環境だった。つまり、最新の修正を適用している店舗もこの脆弱性の前では安全ではない。

Adobeの次回セキュリティ定例リリースは9月8日に予定されているが、この脆弱性に対応するかどうかはSansecの公開時点では不明だ。公式修正が存在しない状態で攻撃が進行しているため、EC事業者は暫定対応の検討を迫られている。

攻撃の仕組み — テンプレート機能を悪用する2段階構成

Sansecの説明によると、StyleSmugglerはMagentoのテンプレート機能に悪性コードを差し込む。stylesプロパティを使うことで既存の防御をすり抜ける点が特徴だ。攻撃は次の2段階で成立する。

1. コードの埋め込み: 失敗レポートの生成などを通じてPHPコードを混入させる。
2. コードの実行: Magentoの標準機能「Payment Transaction Failed Reminder（決済失敗通知）」メールの描画時に、混入したコードが実行される。

誰かがメールを開く必要はない。Magentoがメールを組み立てる過程で悪性コードが動く。メール配信自体が失敗した場合でも攻撃は成立しうるため、メールが届いていないことが安全の証拠にはならない。攻撃成立後は、kworkerを装った不正な常駐プロセスが起動し、遠隔操作や追加の裏口の足場になるとみられる。

侵害の兆候 — 常駐プロセスと決済失敗メールの急増

Sansecは、具体的な確認手順と侵害指標（IoC）を公開している。主な兆候は次の通りだ。

• [kworker/u:8:0]を装った不審なバックグラウンドプロセスの存在
• crontabへの不審な登録や、~/.local/share/.gvfsd/配下の不審なファイル
• var/report/配下でのX_TRACE_を含む不審な記録
• 「Payment Transaction Failed Reminder」メールの突発的な大量発生（正規の決済失敗でも発生するため、単独では断定できない）

通信先として、マルウェア配布ホストやWebSocket over TLS、NTPを偽装した通信に使われる複数のドメインとIPアドレス、2件のSHA256ハッシュが示されている。詳細なハッシュ値やドメインの一覧はSansecの公開ページで確認できる。

Sansecが示す対応 — 暫定策は同社の公表内容に限定される

公式修正がない現状で、Sansecは店舗運営者向けに次の対応を示している（いずれも同社の公表内容であり、本記事独自の推奨ではない）。

• 攻撃の遮断: 同社のSansec Shieldが9月5日早朝からStyleSmugglerの攻撃遮断を開始しており、両段階に対応する更新ルールを展開中だとしている。
• 侵害の検査: スキャナーのeComscan最新版（1.9.7）が不正プロセスの検出・終了に対応したとしている。
• Shield未利用の場合の暫定策: Adobeの公式修正が出るまでGraphQLを一時的に無効化する方法を示している。

同社はShield利用者でも、Shieldのルール公開前に開始された攻撃は通過した可能性があるとして、不審なプロセスが見つかった場合はMagentoの認証情報のローテーションを推奨している。

タイムライン

• 2026年9月4日 22時20分（UTC）: 最初のStyleSmuggler攻撃を確認
• 2026年9月4日 22時40分（UTC）: Sansecが調査キャンペーンを察知し、数時間で再現に成功
• 2026年9月5日 7時15分: Sansec Shieldが攻撃遮断を開始（同社のタイムラインによる）
• 2026年9月5日: Sansecが分析を公開
• 2026年9月8日（予定）: Adobeの次回定例セキュリティリリース

Magento・Adobe CommerceでECサイトを運営する組織は、まず侵害の兆候を確認し、公式修正の発表に注意したい。CVE番号はSansecの公開時点で割り当てられていない。

出典

• StyleSmuggler: Magento and Adobe Commerce 0-day RCE under active attack — Sansec（2026年9月5日）