Adobe CommerceにCVSS 10.0の未認証RCE脆弱性CVE-2026-75650 — 悪用を野外で確認、ホットフィクスと認証情報の総入れ替えが必要

Adobeは2026年9月7日（米国時間）、EC（電子商取引）プラットフォーム Adobe Commerce と Magento Open Source の緊急セキュリティ更新 APSB26-146 を公開した。対象の脆弱性 CVE-2026-75650 は、テンプレートエンジンにおける入力の無害化不備（CWE-1336）に起因し、認証なしでネットワーク経由の任意コード実行につながるおそれがある。共通脆弱性評価システム（CVSS）v3.1の基本値は 10.0（最大値）で、Adobeは野外での悪用を確認していると説明している。

同日、オランダ国家サイバーセキュリティセンター（NCSC-NL）も警告を発し、EC事業者に即時の更新を呼びかけた。ECサイトは顧客情報や決済情報を扱うため、悪用された場合の影響が大きい。Adobeが示す修正手順と、更新後に必要な認証情報の入れ替えを一体で実施することが重要だ。

CVE-2026-75650とは — 認証なしで任意コード実行、CVSS 10.0

APSB26-146が修正する脆弱性は1件のみだが、影響は極めて深刻だ。

項目	内容
CVE番号	CVE-2026-75650
原因	テンプレートエンジンで特殊要素の無害化が不適切（CWE-1336）
CVSS v3.1	10.0（Critical）
ベクトル	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
攻撃条件	ネットワーク経由、低い攻撃難易度、特権不要、利用者操作不要
影響	任意コード実行により、機密性・完全性・可用性のすべてに高い影響
状態	Adobeが野外での悪用を確認済み

S:C（Scope Changed）は、脆弱性のあるコンポーネントを超えて別の権限範囲に影響が及ぶことを意味する。ECアプリケーションの権限で実行されたコードが、基盤全体へ波及するおそれを示している。

影響を受ける製品とバージョン

AdobeがAPSB26-146と関連するナレッジベースで示した影響範囲は次の通りだ。いずれも2026年8月版（-2026-aug）以前が影響を受ける。

製品	影響を受けるバージョン
Adobe Commerce	2.4.9-2026-aug以前、2.4.8-2026-aug以前、2.4.7-2026-aug以前、2.4.6-2026-aug以前、2.4.5-2026-aug以前、2.4.4-2026-aug以前
Adobe Commerce B2B	1.5.3-2026-aug以前、1.5.2-2026-aug以前、1.4.2-2026-aug以前、1.3.4-2026-aug以前、1.3.3-2026-aug以前
Magento Open Source	2.4.9-2026-aug以前、2.4.8-2026-aug以前、2.4.7-2026-aug以前、2.4.6-2026-aug以前

Adobeは、これらの系統でホットフィクスVULN-39341（Composerパッチ VULN-39341-composer-patches.zip）を提供している。ホットフィクスは上記の各バージョンでテスト済みとされ、他のサポート対象バージョンでも動作する可能性はあるが公式には検証されていない。

修正はパッチ適用だけでは終わらない — 暗号化鍵と認証情報の総入れ替え

Adobeのナレッジベースは、今回の修正を「パッチを当てれば終わり」ではないと強調している。攻撃者が任意コードを実行できた場合、アプリケーションが暗号化に使う鍵や、その鍵で保護された認証情報が窃取された可能性があるためだ。

Adobeが示した修復手順は次の通りだ。

1. ホットフィクスVULN-39341を適用する — composer パッチとして提供されるZIPを展開し、Adobeの手順に従い適用する。Commerce on Cloudでは vendor/bin/magento-patches -n status | grep "39341" で適用状態を確認できる
2. メンテナンスモードを有効化し、cron実行を停止する（Cloudでは vendor/bin/ece-tools cron:disable）
3. 暗号化鍵を入れ替える
4. すべての管理者パスワードを入れ替える
5. REST／SOAP／GraphQLの統合トークンを無効化し再生成する（管理画面の System > Extensions > Integrations）
6. OAuthクライアント秘密情報など、連携先で発行された秘密情報を入れ替える
7. 決済ゲートウェイや外部サービス側でも認証情報を入れ替える — Commerce内の更新だけでなく、支払い連携や外部統合の発行元で再発行が必要だとAdobeは説明している

Adobeは「暗号化鍵の入れ替えだけでは、既に露出した認証情報は無効化されない。鍵で暗号化された統合トークン、決済認証情報、特権自動化トークンは、発行元で入れ替える必要がある」と注意を促している。

EC事業者が今すぐ確認すべきこと

NCSC-NLは9月8日、CVE-2026-75650が利用者の操作なしに遠隔から悪用され、システム乗っ取りや重要設定の改変につながるとし、Adobeが提供する更新の即時適用を推奨した。自社でAdobe Commerce／Magentoを使っているか不明な場合は、IT運用委託先に確認するよう呼びかけている。

ECサイトを運用する組織は、次の点を優先して確認してほしい。

• 運用中のCommerce／Magentoの系統とバージョンを棚卸しし、VULN-39341が適用済みかを管理台帳で確認する
• 適用後は上記の認証情報の総入れ替えを完了させる。特に統合トークンや決済連携の秘密情報は、Commerce外の発行元での再発行が不可欠だ
• 適用前に悪用された可能性を考慮し、WebアクセスログやWAFログ、ファイル改ざんの有無を点検する。EC基盤への不正なコード埋め込みは、顧客のブラウザへのスクリプト注入や決済情報の窃取に悪用され得る
• 管理画面やAPIをインターネットに直接公開していないか、アクセス制御を見直す

AdobeはAPSB26-146を**優先度1（Priority 1）**と位置づけている。野外での悪用が確認されているため、検証環境での動作確認と本番適用の計画をできるだけ早く立てることが求められる。

出典

• Adobe: Security update available for Adobe Commerce | APSB26-146
• Adobe Experience League: Urgent Action Required: Critical Security Update Available for Adobe Commerce (APSB26-146) — VULN-39341 hotfix and credential rotation
• NCSC-NL: Ernstige kwetsbaarheid in Adobe Commerce en Magento actief misbruikt: update onmiddellijk (CVE-2026-75650)