Adobe CommerceとMagentoにCVSS 10.0の脆弱性CVE-2026-75650「StyleSmuggler」 — Adobeが緊急ホットフィックスを公開、すでに悪用を確認

Adobeは2026年9月7日、ECプラットフォームのAdobe CommerceとMagento Open Sourceに存在する重大な脆弱性を修正する緊急ホットフィックスを公開した。脆弱性はCVE-2026-75650として登録され、CVSS基本スコアは10.0（最高値）の認証不要のリモートコード実行（RCE）だ。Adobeは同日公開のセキュリティ情報APSB26-146で「すでに悪用を確認している」と明記している。

この脆弱性は、オランダのセキュリティ企業Sansecが9月5日に「StyleSmuggler」として報告したゼロデイだ。Sansecは9月4日22時40分（UTC）に最初の攻撃を確認し、クリーンな環境で攻撃チェーン全体を再現している。Adobeのパッチはその3日後に公開された。

CVE-2026-75650 — テンプレート処理を悪用する認証不要のRCE

Adobeによると、CVE-2026-75650はテンプレートエンジンで使われる特殊要素の無害化不備（CWE-1336）に起因し、認証なしの遠隔攻撃者が任意のコードを実行できる。CVSSベクターは CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H で、ネットワーク経由で低複雑度の操作により機密性・完全性・可用性の全てに高い影響を与える。

Sansecの分析では、攻撃は次の2段階で成立する。

1. 混入（poison） — styles プロパティを悪用してPHPコードをMagento側に書き込ませる。失敗レポートの生成等が利用される。
2. 実行 — Magentoが「Payment Transaction Failed Reminder（決済失敗通知）」などのメールを描画する際に、混入したコードが実行される。メールの送信が失敗しても実行自体は成立する。

同社は失敗通知メールの急増を調査の手がかりとして挙げつつ、正当な決済失敗でも同メールは発生し得ると注意を促している。

影響を受けるバージョンとホットフィックス

Adobeは、2026年8月時点のリリースを基準に、以下の製品が影響を受けるとしている。

• Adobe Commerce: 2.4.9-2026-aug以前、2.4.8-2026-aug以前、2.4.7-2026-aug以前、2.4.6-2026-aug以前、2.4.5-2026-aug以前、2.4.4-2026-aug以前の全て
• Adobe Commerce B2B: 1.5.3-2026-aug以前、1.5.2-2026-aug以前、1.4.2-2026-aug以前、1.3.4-2026-aug以前、1.3.3-2026-aug以前
• Magento Open Source: 2.4.9-2026-aug以前、2.4.8-2026-aug以前、2.4.7-2026-aug以前、2.4.6-2026-aug以前、2.4.5-2026-aug以前、2.4.4-2026-aug以前

修正は通常のバージョンアップではなく、ホットフィックス（VULN-39341-composer-patches.zip） としてrepo.magento.comで配布される。Adobeは vendor/bin/magento-patches -n status | grep "39341\|Status" で適用状態を確認するよう案内している。Sansecは2.4.7、2.4.8、2.4.9のクリーン環境で攻撃を再現したほか、2026年7月・8月のパッチを適用し security:patch-status が正常と表示された2.4.6-p15の店舗でも被害を確認した。セッション保存先をRedisやデータベースに移しても攻撃は防げないとしている。

すでに悪用 — バックドアの設置と2つの攻撃グループ

Sansecは、最初の攻撃からホットフィックス公開までの3日間に、店舗への侵入とバックドアの設置を確認した。成功時に起動されるのはRust製の常駐型バックドアで、C2サーバー（99.84.67[.]186など）とWebSocket（TLS）や独自のNTP偽装トラフィック（UDP 123番）で通信する。プロセス名は [kworker/u:8:0] や fc-cache、chronyd を偽装し、cronによる再起動やPIDファイルの作成で持続化を図る。

同社は、同一の脆弱性を突いた別の攻撃者による485バイトのPHPドロッパーも確認した。後者は pub/media/catalog/product/cache/ 配下にWebシェルを書き込み、特定の X-Cache-Token ヘッダーを含む要求でのみ任意のPHPコードを実行する。侵入前にGraphQLへの偵察リクエストでホスト情報や書き込み可否を窃取する手口も観測されている。

Sansecによると、バックドアは9月7日時点でSansec以外のセキュリティ製品では検出されていない。攻撃者は日単位でペイロードを変更しており、同社は指標（IOC）を随時更新している。

推奨される対応 — ホットフィックス適用と認証情報のローテーション

AdobeとSansecは、以下の対応を呼びかけている。以下の推奨は全て両社の公式発表に基づくものである。

• Adobeのホットフィックスを直ちに適用する。Adobeは優先度を最高の「1」に設定している。
• 暗号化キーと、それにより保護されていた全ての認証情報をローテーションする。Adobeは対象として、管理者パスワード、REST/SOAP/GraphQLの統合トークン、OAuthクライアントシークレット、決済ゲートウェイのAPI認証情報、データベース認証情報、SSHやデプロイ鍵、サードパーティ拡張のAPIキーを挙げ、Magento内部だけでなく各サービスの提供元で直接ローテーションするよう求めている。暗号化キーのみの変更では攻撃者が既に読み取った情報は無効化されないとしている。
• 侵害の有無を点検する。Sansecは crontab -l やcronスプールファイル、不審なプロセス（kworker、fc-cache、chronyd を偽装）、var/report/ 配下の x_trace_ 文字列、pub/media 配下の不審なPHPファイルの確認を推奨している。パッチ適用は侵入経路を塞ぐが、すでに設置されたバックドアを除去しない。
• 検出と遮断の併用。Sansecは自社製品Shieldが9月5日早朝からStyleSmugglerの遮断を開始したとしつつ、Adobeのパッチ適用を併せて推奨している。

ECサイトは顧客の決済情報や個人情報を扱い、侵害された場合は二次被害が顧客に及ぶ。Adobe CommerceやMagentoを運用する組織は、ホットフィックスの適用と併せて、公開前に攻撃を受けていた可能性を前提にログとファイルの点検、認証情報の全面的な見直しを進める必要がある。

出典

• Security update available for Adobe Commerce | APSB26-146 — Adobe（2026年9月7日）
• StyleSmuggler: Magento and Adobe Commerce 0-day RCE (CVE-2026-75650) under active attack — Sansec（2026年9月5日、9月7日更新）