情報 ID
最終更新日 :
2026年5月21日
Adobe Commerce に関するセキュリティアップデート公開 | APSB26-49
|
|
公開日 |
優先度 |
|---|---|---|
|
APSB26-49 |
2026年５月12日 |
2 |
要約
対象のバージョン
| 製品名 | バージョン | 優先度評価 | プラットフォーム |
|---|---|---|---|
| Adobe Commerce |
2.4.9-beta1 2.4.8-p4 以前 2.4.7-p9 以前 2.4.6-p14 以前 2.4.5-p16 以前 2.4.4-p17 以前 |
2 | すべて |
| Adobe Commerce B2B |
1.5.3-beta1 1.5.2-p4 1.4.2-p9 以前 1.3.4-p16 以前 1.3.3-p17 以前 |
2 | すべて |
| Magento Open Source | 2.4.9-beta1 2.4.8-p4 以前 2.4.7-p9 以前 2.4.6-p14 以前 |
2 | すべて |
解決策
アドビは、これらのアップデートを次の優先度評価に分類しており、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。
| 製品名 | アップデートバージョン | プラットフォーム | 優先度評価 | インストール手順 |
|---|---|---|---|---|
| Adobe Commerce | 2.4.9 2.4.8-p5 2.4.7-p10 2.4.6-p15 2.4.5-p17 2.4.4-p18 |
すべて | 2 | 2.4.x リリースノート |
| Adobe Commerce B2B | 1.5.3 1.5.2-p5 1.4.2-p10 1.3.4-p17 1.3.3-p18 |
すべて | 2 | 2.4.x リリースノート |
| Magento Open Source | 2.4.9 2.4.8-p5 2.4.7-p10 2.4.6-p15 |
すべて | 2 | 2.4.x リリースノート |
アドビは、これらのアップデートを次の優先度評価に分類しており、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。
脆弱性に関する詳細
| 脆弱性のカテゴリー | 脆弱性の影響 | 深刻度 | 悪用する場合に認証が必要か？ | 悪用する場合に管理者権限が必要か？ |
CVSS 基本スコア |
CVSS ベクター |
CVE 番号 | メモ |
|---|---|---|---|---|---|---|---|---|
| 不正な承認（CWE-863） | セキュリティ機能のバイパス | クリティカル | いいえ | はい | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N | CVE-2026-34645 | |
| 不正な承認（CWE-863） | セキュリティ機能のバイパス | クリティカル | いいえ | はい | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N | CVE-2026-34646 | |
| サーバー側要求偽造（SSRF）（CWE-918） | セキュリティ機能のバイパス | クリティカル | いいえ | はい | 7.4 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N | CVE-2026-34647 | |
| 無制限のリソース消費（CWE-400） | アプリケーションのサービス拒否 | クリティカル | いいえ | いいえ | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CVE-2026-34648 | |
| 無制限のリソース消費（CWE-400） | アプリケーションのサービス拒否 | クリティカル | いいえ | いいえ | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CVE-2026-34649 | |
| 無制限のリソース消費（CWE-400） | アプリケーションのサービス拒否 | クリティカル | いいえ | いいえ | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CVE-2026-34650 | |
| 無制限のリソース消費（CWE-400） | アプリケーションのサービス拒否 | クリティカル | いいえ | いいえ | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CVE-2026-34651 | |
| 脆弱なサードパーティコンポーネントへの依存（CWE-1395） | アプリケーションのサービス拒否 | クリティカル | いいえ | いいえ | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CVE-2026-34652 | |
| クロスサイトスクリプティング（保存済み XSS）（CWE-79） | 任意のコード実行 | クリティカル | はい | はい | 8.7 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N | CVE-2026-34686 | |
| 制限付きディレクトリへのパス名の制限（「パストラバーサル」）が正しくありません。（CWE-22） | 任意のファイルシステム書き込み | クリティカル | はい | はい | 8.7 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | CVE-2026-34653 | |
| 脆弱なサードパーティコンポーネントへの依存（CWE-1395） | アプリケーションのサービス拒否 | 重要 | はい | いいえ | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L | CVE-2026-34654 | |
| クロスサイトスクリプティング（保存済み XSS）（CWE-79） | 任意のコード実行 | 重要 | はい | はい | 4.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N | CVE-2026-34655 | |
| 不正な認証（CWE-285） | セキュリティ機能のバイパス | 重要 | いいえ | いいえ | 4.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N | CVE-2026-34656 | |
| クロスサイトスクリプティング（保存済み XSS）（CWE-79） | 任意のコード実行 | 重要 | はい | はい | 4.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N | CVE-2026-34658 | |
| 不適切な入力検証（CWE-20） | 任意のコード実行 | 中度 | はい | はい | 3.4 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N | CVE-2026-34685 |
注意：
悪用する場合に認証が必要: この脆弱性は、資格情報がないと悪用される可能性があります（またはありません）。
悪用する場合に管理者権限が必要: この脆弱性は、管理者権限を持つ攻撃者のみによって悪用される可能性があります（またはありません）。
謝辞
一連の問題を報告し、ユーザーの保護にご協力いただいた以下の研究者の皆様に対し、アドビより厚く御礼を申し上げます。
- thlassche -- CVE-2026-34645、CVE-2026-34646、CVE-2026-34656
- 0x0doteth -- CVE-2026-34647
- bau1u -- CVE-2026-34648, CVE-2026-34649, CVE-2026-34650, CVE-2026-34651
- wash0ut -- CVE-2026-34652
rez0 -- CVE-2026-34653
- akouba -- CVE-2026-34654
srcoder -- CVE-2026-34655
- schemonah -- CVE-2026-34658
- truff -- CVE-2026-34685
- Ray Wolf (raywolfmaster) -- CVE-2026-34686
注：アドビは、HackerOne と公開バグバウンティープログラムを実施しています。 外部セキュリティリサーチャーとしてアドビで働くことに興味がある方は、https://hackerone.com/adobe をご覧ください。.
詳しくは、https://helpx.adobe.com/jp/security.htmlを参照するか、PSIRT@adobe.com 宛てに電子メールでお問い合わせください。
