Adobe Commerce・MagentoにCVSS 10.0の脆弱性、実際の悪用を確認｜利用サイトは緊急アップデートを

Adobe CommerceとMagento Open Sourceに、第三者から任意のコードを実行される可能性がある深刻な脆弱性が確認されました。

対象となる「CVE-2026-75650」はCVSS 10.0と評価されており、Adobeはすでに実環境で悪用されていることを確認しています。ECサイトの制作・保守を担当しているWeb制作者や、Magento系のサイトを自社運用している事業者は、対象バージョンを確認してHotfixを適用する必要があります。

対象はAdobe CommerceとMagento Open Source

Adobeの案内では、以下の製品・バージョンが対象です。

Adobeは今回のセキュリティアップデートを優先度1に分類しています。

すべてのAdobeユーザーが対象になるわけではありません。Photoshop、Illustrator、Premiere ProなどのCreative Cloud製品とは別で、今回問題になっているのはECサイト基盤のAdobe CommerceとMagento Open Sourceです。

認証なしで任意コードを実行される可能性

今回の脆弱性は、テンプレートエンジンで使われる特殊な要素の処理に問題があるものです。

悪用された場合、攻撃者がサーバー側で任意のコードを実行できる可能性があります。さらにAdobeの情報では、攻撃にログイン情報などの認証情報は必要ありません。

「任意コード実行」は、攻撃者が本来許可されていないプログラムや命令をサーバー上で動かせる状態を指します。ECサイトでは顧客情報や注文情報を扱うため、放置した場合の影響が大きくなりやすい脆弱性です。

CVSSは脆弱性の深刻度を0.0〜10.0で示す指標です。今回の10.0は最大値にあたります。

Adobeが「すでに悪用されている」と明記

今回、特に注意したいのは深刻度の数字だけではありません。

Adobeはセキュリティ情報の中で、CVE-2026-75650が実際に悪用されていることを認識していると明記しています。

つまり、「危険な穴が見つかったので将来に備えて直しておきましょう」という段階ではありません。

すでにその穴を使った攻撃が確認されているため、該当する環境を公開している場合は対応を後回しにしない方が安全です。

Adobeは専用Hotfixを公開

AdobeはAdobe CommerceとMagento Open Sourceに対して、CVE-2026-75650専用のHotfixを公開しています。対象環境では、このHotfixを適用するよう案内しています。

Hotfixは、特定の不具合やセキュリティ問題を緊急に修正するための更新プログラムです。通常の大型アップデートを待たず、問題のある部分だけを修正する目的で提供されます。

Magento系サイトを運用している場合は、

• 現在使用しているバージョンを確認する
• 対象バージョンに該当するか確認する
• Adobe公式のHotfix適用手順を確認する
• 本番環境へ適用する
• 適用後にサイトの動作を確認する

ところまで進めたいところです。

制作会社がクライアントのECサイトを保守している場合は、自社サイトだけでなく保守対象のMagento環境も確認する必要があります。

CISAも既知の悪用脆弱性として扱っている

セキュリティ関連情報では、米国CISAの「Known Exploited Vulnerabilities（KEV）」カタログにCVE-2026-75650が追加されたことも報告されています。

KEVは、理論上攻撃できるだけではなく、実際の悪用が確認された脆弱性をまとめた一覧です。

複数のセキュリティ情報では、米国政府機関向けの対応期限が2026年9月11日に設定されていると報じられています。民間企業や日本の事業者にこの期限がそのまま適用されるわけではありませんが、緊急度を判断する材料にはなります。

「Adobeを使っている」だけなら今回の対象ではない

Adobe関連の脆弱性という見出しを見ると、PhotoshopやIllustratorを利用しているクリエイターも不安になるかもしれません。

今回の対象は、

• Adobe Commerce
• Magento Open Source
• Adobe Commerce B2B

です。

Creative Cloudのアプリとは別製品なので、PhotoshopやIllustratorを使っているだけなら、今回のCVE-2026-75650への対応は必要ありません。

一方、Web制作会社やECサイト制作を請け負っているフリーランスの場合、自分ではMagentoを使っている意識がなくても、保守を引き継いだサイトやクライアント環境で使われているケースがあります。

ECサイトの基盤が何かわからない場合は、まずCMS・ECプラットフォームを確認するところから始めるのがよいでしょう。

ECサイト制作者は「制作ソフトの更新」だけ見ていてはいけない

クリエイター向けのセキュリティニュースでは、PhotoshopやIllustrator、CLIP STUDIO PAINTなど制作ソフトの更新が目立ちます。

ただ、Web制作の場合はもう少し範囲が広がります。

WordPress、ECプラットフォーム、プラグイン、サーバー、決済システムなど、サイトを構成するどこかに重大な脆弱性が見つかれば、制作物そのものではなく公開しているサイト全体が攻撃対象になります。

とくにECサイトでは顧客情報や決済に関わるデータを扱うため、「サイトは表示されているから問題ない」という判断は危険です。

今回のようにベンダー自身が実際の悪用を確認している場合は、通常の更新より優先度を上げて対応した方がいいでしょう。

Magentoを使っているなら今日確認したいこと

対象サイトを運用・保守している場合は、少なくとも以下を確認してください。

• Adobe CommerceまたはMagento Open Sourceを利用しているか
• 現在のバージョンが対象範囲に含まれているか
• CVE-2026-75650向けHotfixが適用済みか
• 保守会社やサーバー管理者が対応済みか
• 不審な変更やアクセスが発生していないか
• クライアント案件の場合、管理担当者へ共有できているか

Hotfixを適用すれば、それ以前に攻撃されていなかったことまで保証されるわけではありません。

すでに外部公開していた対象環境では、必要に応じてアクセスログや管理画面、ファイル変更なども確認した方が安全です。

Adobe CommerceやMagentoを使っていない場合は、今回の件だけを理由にAdobe製品全体を警戒する必要はありません。

対象者は限定的ですが、該当するWeb制作者にとっては対応を先送りしにくいセキュリティ情報です。