• ひとことでAdobe CommerceとMagentoで、テンプレートの処理の不備から任意のコードを実行される弱点です。
  • 深刻度10.0 緊急CVSS v3.1
  • まずやることホットフィックスVULN-39341を適用する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2026-75650
製品Adobe Commerce and Magento
深刻度（CVSS）10.0 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
KEVへの追加日2026-09-08
米国政府機関の対応期限2026-09-11
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-1336（テンプレートインジェクション）

何が起きた

ネットショップを作るソフト Adobe Commerce と Magento Open Source に、テンプレートを処理する仕組みで特殊な記号を正しく扱わない弱点が見つかり、実際に悪用が確認されています。悪用されると、攻撃者に任意のコードを実行されるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できる条件です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した値を送る → 2. テンプレートの処理が値を正しく扱わない → 3. 任意のコードを実行される1攻撃者が細工した値を送る2テンプレートの処理が値を正しく扱わない3任意のコードを実行される攻撃の流れ: 1. 攻撃者が細工した値を送る → 2. テンプレートの処理が値を正しく扱わない → 3. 任意のコードを実行される1攻撃者が細工した値を送る2テンプレートの処理が値を正しく扱わない3任意のコードを実行される攻撃の流れ: 1. 攻撃者が細工した値を送る → 2. テンプレートの処理が値を正しく扱わない → 3. 任意のコードを実行される1攻撃者が細工した値を送る2テンプレートの処理が値を正しく扱わない3任意のコードを実行される

誰が影響を受ける

Adobe Commerce（2.4.4〜2.4.9）、Adobe Commerce B2B（1.3.3〜1.5.3）、Magento Open Source（2.4.6〜2.4.9）の、2026-aug とそれ以前の版を使っているネットショップの運営者が影響を受けます。

何をすればいい

Adobe のセキュリティ勧告 APSB26-146 のホットフィックス（VULN-39341）を適用してください。適用後は、暗号化キーや管理者のパスワード、API の鍵などの入れ替えも、Adobe の案内に沿って行いましょう。CISA は、この脆弱性について侵害の痕跡がないか調べるよう求めています。

やることチェックリスト

  • ホットフィックスVULN-39341を適用する
  • 適用後に暗号化キーやパスワードを入れ替える
  • CISAの求めに沿い侵害の痕跡を調べる

用語メモ

テンプレート
ページの形を決めておき、中身を差し込んで画面を作るための部品のことです。
任意のコード 用語集で見る
攻撃者が好きに選べるプログラムのことです。

次に読む

同じ製品・メーカーの脆弱性Adobe Commerce and Magento（CVE-2026-71362）9.1 緊急CVSS v3.1Adobe CommerceとMagentoで、権限の確認の不備から大事な情報に入られる弱点です。同じ製品・メーカーの脆弱性Adobe Commerce and Magento（CVE-2025-54236）9.1 緊急CVSS v3.1Adobe Commerce と Magento で、REST API を通じて客のアカウントを乗っ取られるおそれがある弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe Commerce and Magento Improper Neutralization of Special Elements Used in a Template Engine Vulnerability

概要

Adobe Commerce and Magento Open Source contain an improper neutralization of special elements used in a template engine vulnerability that could allow an attacker to execute arbitrary code.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る