Trusted Design

CVE-2026-71362 の詳細

CVEの情報

説明:
Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in privilege escalation. An attacker could leverage this vulnerability to gain elevated access to sensitive resources. Exploitation of this issue does not require user interaction.

CVE更新日: 2026-08-11 18:18:21.610000

CVSSバージョン: 3.1

CVSSスコア: 9.1

KEVの情報

KEV更新日: 2026-09-24

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.875070000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-71362に関する脆弱性の調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2026-71362は、Adobe CommerceおよびMagento Open Sourceに存在する「不適切な認可 (Incorrect Authorization)」（CWE-863）の脆弱性です。この脆弱性は、プラットフォームが顧客IDをアカウントセッションに正しくバインドできないことに起因します。認証されていないリモートの攻撃者が権限を昇格させ、別の顧客アカウントにセッションを切り替えることで、アカウントの乗っ取りが可能となります。

1.1 影響

この脆弱性が悪用されると、以下の影響が生じる可能性があります。

  • 権限昇格: 攻撃者は権限を昇格させ、アプリケーションに対する高いアクセス権限を取得します。
  • アカウント乗っ取り: 顧客の認証済みコンテキストを掌握し、保存されている個人データや注文履歴にアクセスできます。
  • 機密性と完全性への高い影響: 機密情報へのアクセスおよびデータ改ざんの可能性が高いと評価されています。
  • 可用性への直接的な影響はなし: CVSSベクターによると、可用性への直接的な影響はありません。

この脆弱性は、パスワードの窃取やクラック、フィッシングなどを必要とせず、認証後にアプリケーションが顧客のIDとリソースを現在のセキュリティコンテキストに決定する際に発生するセキュリティ上の不備です。

1.2 深刻度

  • 深刻度: 緊急（Critical）
  • CVSS v3.1基本スコア: 9.1
    • CVSSベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
      • 攻撃元区分 (AV:N): ネットワーク経由での攻撃が可能。
      • 攻撃条件の複雑さ (AC:L): 攻撃の複雑さは低い。
      • 必要な特権レベル (PR:N): 攻撃に特権は不要。
      • ユーザーインタラクション (UI:N): ユーザーの介入は不要。
      • スコープ (S:U): スコープは変更されない。
      • 機密性への影響 (C:H): 機密性への影響は高い。
      • 完全性への影響 (I:H): 完全性への影響は高い。
      • 可用性への影響 (A:N): 可用性への影響はない。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はOSのバージョンに依存するものではなく、Adobe CommerceおよびMagento Open Sourceのアプリケーション自体に存在します。

影響を受けるソフトウェアバージョン: * Adobe Commerce: バージョン 2.4.4 ～ 2.4.9 (2026年7月のセキュリティリリース以前のビルドを含む) * Adobe Commerce B2B: バージョン 1.3.3 ～ 1.5.3 (2026年7月のリリース以前のビルドを含む) * Magento Open Source: バージョン 2.4.6 ～ 2.4.9 (2026年7月のセキュリティリリース以前のビルドを含む)

2.2 影響を受ける設定

影響を受ける資産は、HTTPSで提供される公開Webストアフロントです。 本脆弱性は、認証を必要とせず、管理者権限も不要で、ユーザーの操作もなしに悪用可能です。唯一の前提条件は、ストアフロントへのネットワークアクセスです。

3. 影響を受けた時の兆候

  • サイバーセキュリティ・インフラセキュリティ庁（CISA）は、本脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加しており、実際に悪用されていることが確認されています。
  • eコマースセキュリティ企業Sansecは、Adobeがセキュリティアドバイザリを公開した直後に、この脆弱性を悪用する攻撃の試みをブロックしたと報告しています。
  • 不審な認証/権限関連の活動がないか監視することが推奨されます。

4. 推奨対策

4.1 本対策

  • アップデートの適用: Adobe Commerce、Adobe Commerce B2B、およびMagento Open Sourceを、2026年8月のパッチリリース（例: 2.4.9-2026-aug以降、または該当するブランチのパッチ適用済みバージョン）にアップグレードすることを強く推奨します。
    • Adobeは、2026年8月11日にセキュリティアドバイザリ（APSB26-92）を公開し、30日以内を目安としたアップデートの実施を呼びかけています。
    • CISAは、米行政機関に対して2026年9月27日を対応期限として設定しています。

4.2 暫定回避策（緩和策）

  • ネットワーク露出の制限: 可能な限り、管理およびアプリケーションのネットワーク露出を制限します。

他に解説すべき観点

  • Adobeの優先度評価: Adobeは、この脆弱性に対する修正プログラムの適用優先度を「2」に設定しており、30日以内の更新を推奨しています。
  • サードパーティ製拡張機能: 本脆弱性はAdobe Commerce/Magentoプラットフォームの脆弱性ですが、実際のMagento環境はコアコードだけで構成されていることは稀です。サードパーティ製拡張機能のセキュリティも別途確認する必要があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る