- ひとことでAdobe CommerceとMagentoで、権限の確認の不備から大事な情報に入られる弱点です。
- 深刻度9.1 緊急CVSS v3.1
- まずやることAdobe CommerceやMagentoの版を確かめる
基本情報（データから表示）
| CVE番号 | CVE-2026-71362 |
|---|---|
| 製品 | Adobe Commerce and Magento |
| 深刻度（CVSS） | 9.1 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| KEVへの追加日 | 2026-09-24 |
| 米国政府機関の対応期限 | 2026-09-27 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-863（誤った認可） |
何が起きた
ネットショップを作るソフト Adobe Commerce と Magento に、権限の確認が正しく行われない弱点が見つかり、実際に悪用が確認されています。悪用されると、攻撃者が本来より強い権限を得て、大事な情報などに入られるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できる条件です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Adobe Commerce（2.4.4〜2.4.9 とそれより古い版）、Adobe Commerce B2B（1.3.3〜1.5.3 とそれより古い版）、Magento Open Source（2.4.6〜2.4.9 とそれより古い版）を使っているネットショップが影響を受けます。
何をすればいい
Adobe のセキュリティ勧告 APSB26-92 の更新を適用してください。使っている系列の修正版は、メーカーの公式の案内で確認しましょう。CISA は、この脆弱性について侵害の痕跡がないか調べるよう求めています。
やることチェックリスト
- Adobe CommerceやMagentoの版を確かめる
- APSB26-92の更新を適用する
- ストアに侵害の痕跡がないか調べる
用語メモ
- Magento
- ネットショップを作るためのソフトで、Adobe Commerce のもとになったものです。
- 権限 用語集で見る
- システムやデータに対して行ってよい操作の範囲のことです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Adobe Commerce and Magento Incorrect Authorization Vulnerability
概要
Adobe Commerce and Magento contains an incorrect authorization vulnerability that could allow an attacker to leverage this vulnerability to gain elevated access to sensitive resources without any user interaction.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
この元データの出どころ: CISA KEV カタログで見る