Adobe Commerce and Magento の脆弱性（CVE-2025-54236）

何が起きた

ネット通販サイトを作るソフト Adobe Commerce と Magento Open Source に、受け取ったデータの確認が不十分な弱点が見つかりました。Adobe によると、攻撃者は Commerce REST API を通じて客のアカウントを乗っ取れるおそれがあり、NVD の説明ではログイン状態（セッション）の乗っ取りにつながります。NVD に登録された Adobe の評価では、離れた場所からネットワーク経由で、権限なしで、利用者の操作なしに悪用できます。CISA は実際の悪用を確認し、KEV に掲載しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe Commerce（すべての提供形態）と Magento Open Source の 2.4.9-alpha2、2.4.8-p2、2.4.7-p7、2.4.6-p12、2.4.5-p14 とそれ以前を使っている人・組織が対象です。Adobe Commerce の 2.4.4-p15 とそれ以前、Adobe Commerce B2B の 1.5.3-alpha2 などとそれ以前、Custom Attributes Serializable module の 0.1.0 から 0.4.0 も対象として挙げられています。

何をすればいい

Adobe は修正用のホットフィックス VULN-32437-2-4-X-patch を出しており、できるだけ早く当てるよう求めています。追加モジュールの Custom Attributes Serializable module を入れている場合は、0.4.0 以降に更新してからホットフィックスを当てます。Adobe Commerce on Cloud を使う場合も、WAF のルールだけに頼らず、Adobe が示す修正を当てる必要があります。あわせて Adobe の公式の案内を確認してください。

やることチェックリスト

• ホットフィックスVULN-32437-2-4-X-patchを適用する
• 追加モジュールを0.4.0以降に更新する
• Commerce と Magento の版を確認する

用語メモ

REST API 用語集で見る

ほかのプログラムがインターネット経由でサービスの機能やデータを使うための窓口の一種です。

セッション 用語集で見る

ログインしてからログアウトするまでの間、利用者を見分けるための状態です。乗っ取られると、その人になりすまされます。

ホットフィックス 用語集で見る

特定の問題をすぐに直すために出される小さな修正プログラムです。

WAF 用語集で見る

Web Application Firewall の略で、Web サイトへの怪しい通信を見つけて止める仕組みです。