• ひとことでAdobe Commerce と Magento で、危険なファイルをアップロードされてしまう弱点です。
  • 深刻度9.3 緊急CVSS v3.1
  • まずやること使っている Adobe Commerce の版と系列を確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2026-48356
製品Adobe Commerce and Magento
深刻度（CVSS）9.3 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
KEVへの追加日2026-10-27
米国政府機関の対応期限2026-11-10
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-434（危険な種類のファイルのアップロードの制限なし）

何が起きた

Adobe Commerce and Magento に、危険な種類のファイルのアップロードを止められない弱点が見つかり、実際に悪用されていることが確認されました。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できますが、悪用には利用者の操作が必要とされています。CVE の記録によると、悪用されると、利用者の権限で任意のコード（攻撃者が好きに選べるプログラム）を実行されるおそれがあります。Adobe のセキュリティ情報（APSB26-73）では、この弱点の影響は権限昇格とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が危険なファイルを用意する → 2. サイトにそのファイルをアップロードする → 3. 利用者の操作をきっかけに悪用が進む → 4. 利用者の権限でプログラムが動かされる1攻撃者が危険なファイルを用意する2サイトにそのファイルをアップロードする3利用者の操作をきっかけに悪用が進む4利用者の権限でプログラムが動かされる攻撃の流れ: 1. 攻撃者が危険なファイルを用意する → 2. サイトにそのファイルをアップロードする → 3. 利用者の操作をきっかけに悪用が進む → 4. 利用者の権限でプログラムが動かされる1攻撃者が危険なファイルを用意する2サイトにそのファイルをアップロードする3利用者の操作をきっかけに悪用が進む4利用者の権限でプログラムが動かされる攻撃の流れ: 1. 攻撃者が危険なファイルを用意する → 2. サイトにそのファイルをアップロードする → 3. 利用者の操作をきっかけに悪用が進む → 4. 利用者の権限でプログラムが動かされる1攻撃者が危険なファイルを用意する2サイトにそのファイルをアップロードする3利用者の操作をきっかけに悪用が進む4利用者の権限でプログラムが動かされる

誰が影響を受ける

Adobe Commerce、Adobe Commerce B2B、Magento Open Source、Adobe Commerce Events を使って、ネットショップなどを運営している組織が対象です。Adobe によると、影響を受けるのは Adobe Commerce の 2.4.9、2.4.8-p5 以前、2.4.7-p10 以前、2.4.6-p15 以前、2.4.5-p17 以前、2.4.4-p18 以前と、Magento Open Source の 2.4.9、2.4.8-p5 以前、2.4.7-p10 以前、2.4.6-p15 以前です。Adobe Commerce B2B の 1.5.3、1.5.2-p5 以前、1.4.2-p10 以前、1.3.4-p17 以前、1.3.3-p18 以前と、Adobe Commerce Events の 1.6.0 から 1.20.0 も対象です。

何をすればいい

Adobe のセキュリティ情報（APSB26-73）の公式の案内を確認し、使っている系列の修正版に更新されているか確認してください。修正版は、Adobe Commerce と Magento Open Source では 2.4.9-2026-jul のように末尾に 2026-jul が付いた版、Adobe Commerce B2B では 1.5.3-2026-jul のような版、Adobe Commerce Events では 1.21.0 です。Adobe はこのセキュリティ情報で回避策を示しておらず、最新の修正版への更新を勧めています。

やることチェックリスト

  • 使っている Adobe Commerce の版と系列を確かめる
  • 末尾に 2026-jul が付いた修正版に更新する
  • Adobe Commerce Events は 1.21.0 に更新する

用語メモ

アップロード 用語集で見る
手元のファイルを、ネットワークを通じてサーバーなどに送ることです。
任意のコード 用語集で見る
攻撃者が好きに選んだプログラムのことです。これを動かされると、機器やシステムを思いどおりに操作されるおそれがあります。
権限昇格 用語集で見る
本来より強い権限を手に入れることです。ふつうの利用者が、管理者のような操作をできるようになってしまいます。

次に読む

同じ製品・メーカーの脆弱性Adobe Commerce and Magento（CVE-2026-71362）9.1 緊急CVSS v3.1Adobe CommerceとMagentoで、権限の確認の不備から大事な情報に入られる弱点です。同じ製品・メーカーの脆弱性Adobe Commerce and Magento（CVE-2026-75650）10.0 緊急CVSS v3.1Adobe CommerceとMagentoで、テンプレートの処理の不備から任意のコードを実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability

概要

Adobe Commerce and Magento contain an unrestricted upload of file with dangerous type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る