Adobe Commerce / Magento Open Source に対する2026年8月のセキュリティパッチがリリースされました

Adobeが公表している2026年のパッチリリーススケジュール通り、セキュリティパッチがリリースされました。
今回も新バージョンのリリースではなく、セキュリティパッチのみのリリースとなっています。

なお、Magento Open Source向けの2.4.4系と2.4.5系のメンテナンスはすでに終了しています。
そのため、2.4.4用と2.4.5用のパッチはAdobe Commerce専用のリリースとなります。
また、Magento Open Sourceの2.4.6系は今月でメンテナンス終了となります。

では、早速詳細を確認していくことにしましょう。

対象となるバージョン

2026年8月現在、Adobe Commerce / Magento Open Sourceのサポート対象となっているバージョン系統は、

  • 2.4.9
  • 2.4.8
  • 2.4.7
  • 2.4.6

となっています。
前述の通りMagento Open Sourceの2.4.4系と2.4.5系はサポートが終了していますので、対象外です。
Adobe Commerceの2.4.4系と2.4.5系に対してのみリリースが行われています。
Magento Open Sourceの2.4.6系は今月のリリースでサポート終了となります。

そのため、今回のアップデートの対象バージョンは以下の通りです。

  • 2.4.9系 + 2026年7月のパッチ
  • 2.4.8-p5 + 2026年7月のパッチ
  • 2.4.7-p10 + 2026年7月のパッチ
  • 2.4.6-p15 + 2026年7月のパッチ
  • Adobe Commerce 2.4.5-p17 + 2026年7月のパッチ
  • Adobe Commerce 2.4.4-p18 + 2026年7月のパッチ

また、Adobe Commerce B2Bにおいては、

  • 1.5.3 + 2026年7月のパッチ
  • 1.5.2-p5 + 2026年7月のパッチ
  • 1.4.2-p10 + 2026年7月のパッチ
  • 1.3.4-p17 + 2026年7月のパッチ
  • 1.3.3-p18 + 2026年7月のパッチ

が明確に対象であると示されています。

セキュリティパッチの内容

Adobe Security Bulletinによると、今回のセキュリティパッチでは7件の脆弱性が修正されているようです。
内訳としては、

  • Criticalが5件
  • Importantが1件
  • Moderateが1件

となっています。

CVE 種別（CWE） 影響 深刻度 CVSS 認証 管理者権限
CVE-2026-71362 不適切な認可（CWE-863） 権限昇格 Critical 9.1 不要 不要
CVE-2026-48413 格納型クロスサイトスクリプティング（CWE-79） 任意コード実行 Critical 8.7 必要 不要
CVE-2026-48414 格納型クロスサイトスクリプティング（CWE-79） 任意コード実行 Critical 7.7 必要 必要
CVE-2026-48415 不適切な認可（CWE-863） セキュリティ機能バイパス Critical 7.6 必要 不要
CVE-2026-48416 不適切な認可（CWE-863） セキュリティ機能バイパス Critical 7.5 不要 不要
CVE-2026-48411 不適切な認可（CWE-863） セキュリティ機能バイパス Important 6.8 必要 必要
CVE-2026-48412 不適切な認可（CWE-863） 権限昇格 Moderate 2.7 必要 必要

 

今回のリリースの緊急性について

Adobe Security Bulletinでは、緊急度を次の3段階に分けて示しています。

  • 緊急度1・・・最上位の緊急度。72時間以内に対処が必要。
  • 緊急度2・・・中位の緊急度。30日以内の対処を推奨。
  • 緊急度3・・・低位の緊急度。直ちに問題が起きることは考えにくいため、管理者の判断での適用が可能。

今回のリリースについては、

  • Adobe Commerce B2B・・・緊急度2
  • Adobe Commerce・・・緊急度2
  • Magento Open Source・・・緊急度2

となっています。
緊急パッチが出ていないので、通常のアップデートを30日以内を目処に行えば問題はないとAdobeからの発表には記されています。

パッチ適用時の注意点

今回のセキュリティパッチは、最新バージョンのAdobe Commerce / Magento Open Sourceを対象としています。
「最新バージョン」の意味としては、

  • 2.4.9 + 2026年7月パッチ
  • 2.4.8-p5 + 2026年7月パッチ
  • 2.4.7-p10 + 2026年7月パッチ
  • 2.4.6-p15 + 2026年7月パッチ

のようにパッチバージョンが最新であるものが対象ということです。
また、冒頭でも書きましたが、前回のセキュリティパッチが適用済みである事が前提です。
それ以外の環境に対し、今回のセキュリティパッチを適用することは自己責任です。

まとめ

2026年8月のAdobe Commerce / Magento Open Sourceのセキュリティパッチは、前回よりも小規模なものとなりました。

ただし、前回同様「最新バージョンのみ」が適用対象である点には注意が必要です。
まだ前回のセキュリティパッチを適用していないサイトについては、まずは2026年5月のリリースバージョンへ更新する作業を行いましょう。