概要
Adobe CommerceおよびMagento Open Sourceに存在する深刻な脆弱性CVE-2026-71362(CVSSスコア9.1)が、Adobeによるパッチ公開からわずか数日で実際の攻撃に悪用され始めていることが明らかになった。この脆弱性は、攻撃者が既存アカウントや管理者権限、ユーザー操作を一切必要とせずに、顧客セッションを別の顧客アカウントへ不正に切り替えられるというもので、被害者のアカウントと個人データに無断でアクセスされる恐れがある。セキュリティ企業Sansecが悪用の兆候を検知し、自社のWAF製品「Sansec Shield」が既に攻撃試行をブロックしていると報告している。
技術的な詳細
脆弱性の根本原因は、Magentoにおける顧客アイデンティティ、すなわちカスタマーセッションの処理方法の不備にある。不適切なセッション処理により、攻撃者は認証情報を持たない状態でも他人のセッションへの切り替えが可能になっていた。Adobeは8月11日付のセキュリティ情報APSB26-92で本脆弱性を含む計7件の脆弱性を修正しており、うち5件がCriticalレベルとされる。CVE-2026-71362以外にも、保存型クロスサイトスクリプティング(XSS)や認可に関する脆弱性が同時に修正されている。影響を受けるのはAdobe Commerce、Commerce B2B、Magento Open Sourceで、2026年7月までのパッチを適用した環境も含めて脆弱な状態にあったという。今回のパッチは独立したパッチファイルとして緊急配布されており、正式なセキュリティリリースへの統合は後日予定されている。
悪用状況と対応
Adobeによる公開後、間を置かずに実環境での悪用試行が観測された。今回の悪用の速さは、深刻な脆弱性が公開されると攻撃側が短時間で武器化するという、近年のECプラットフォーム攻撃に共通する傾向を改めて示す事例といえる。Adobeは、現在サポート対象となっているCommerce、Commerce B2B、Magentoの各リリースラインを利用する管理者に対し、2026年8月のセキュリティ更新をできるだけ早期に適用するよう強く勧告している。なお、パッチ適用にあたっては事前に最新の-pリリース(パッチレベル)を確認する必要がある点にも注意が必要だ。ECサイト運営事業者は、顧客アカウントの不正利用や個人情報漏えいのリスクを避けるため、速やかな対応が求められる。