Adobe Commerce / Magento Open Source 2.4.8-p4 / 2.4.7-p9 / 2.4.6-p14 / 2.4.5-p16 / 2.4.4-p17がリリースされました

リリーススケジュール通り、Adobe Commerce / Magento Open Sourceのセキュリティリリースが行われました。
今回のリリースは2026年では1回目のリリースで、今年からはリリース計画が変更されている関係で、次のリリースは11月に予定されています。
Magento Open Source向けの2.4.4系と2.4.5系のメンテナンスはすでに終了しています。
そのため、2.4.4−p17と2.4.5-p16はAdobe Commerce専用のリリースとなります。

では、早速詳細を確認していくことにしましょう。

対象となるバージョン

2026年3月現在、Adobe Commerce / Magento Open Sourceのサポート対象となっているバージョン系統は、

  • 2.4.8
  • 2.4.7
  • 2.4.6

となっています。Magento Open Sourceの2.4.4系と2.4.5系はサポートが終了していますので、今回のリリースはありません。
Adobe Commerceの2.4.4系と2.4.5系に対してのみリリースが行われています。
そのため、今回のアップデートの対象バージョンは以下の通りです。

  • 2.4.8-p3以前の2.4.8系
  • 2.4.7-p8以前の2.4.7系
  • 2.4.6-p13以前の2.4.6系
  • Adobe Commerce 2.4.5-p15以前の2.4.5系
  • Adobe Commerce 2.4.4-p16以前の2.4.4系

また、Adobe Commerce B2Bにおいては、

  • 1.5.2-p3以前
  • 1.4.2-p8以前
  • 1.3.5-p13以前
  • 1.3.4-p15以前
  • 1.3.3-p16以前

が明確に対象であると示されています。

アップデートの内容

Adobe Security Bulletinによると、今回のアップデートでは19件の脆弱性が修正されているようです。
件数は前回と同じですが、内容のレベルに差があります。
内訳としては、

  • Criticalが6件
  • Importantが10件
  • Moderateが3件

となっています。
すべての脆弱性に対して、

  • 管理者権限
  • 攻撃に際して認証

の両方またはいずれかが必要となっているため、

  • 管理者アカウントの適切な管理
  • 二要素認証の導入
  • 管理画面へのアクセス制限

がなされていれば、緊急（72時間以内）の対応は必要ありません。レベルとしては30日以内の適用が推奨されています。

脆弱性の概要

今回のアップデートで、対象のバージョンに共通して修正された脆弱性としては、

  • Incorrect Authorization 
  • Stored XSS
  • Improper Input Validation
  • SSRF（Server Side Request Forgeries）
  • Path Traversal
  • Open Redirect

の6種類となっています。

Stored XSS と Incorrect Authorization の2種類で全体の約68%（13件）を占めています。
Critical の脆弱性はすべて認証が必要（Auth required: Yes）ですが、うち2件は管理者権限不要で悪用可能なため注意が必要です。

ただ、いずれの脆弱性も公表時点での悪用は確認されていません。

今回のリリースの緊急性について

Adobe Security Bulletinでは、緊急度を次の3段階に分けて示しています。

  • 緊急度1・・・最上位の緊急度。72時間以内に対処が必要。
  • 緊急度2・・・中位の緊急度。30日以内の対処を推奨。
  • 緊急度3・・・低位の緊急度。直ちに問題が起きることは考えにくいため、管理者の判断での適用が可能。

今回のリリースについては、

  • Adobe Commerce B2B・・・緊急度2
  • Adobe Commerce・・・緊急度2
  • Magento Open Source・・・緊急度2

となっています。
緊急パッチが出ていないので、通常のアップデートを30日以内を目処に行えば問題はありません。

今回のアップデートに伴う変更点

Adobe Commerce向けのリリースノートでは触れられていませんが、以下の変更が加えられています。

REST API / GraphQL経由で顧客メールアドレスを変更すると、通知メールが送信される機能が追加。

外部システムとAPI連携をされている運用形態の場合は注意が必要ですね。

まとめ

2026年最初のAdobe Commerce / Magento Open Sourceのアップデートは、緊急パッチを伴わないものとなりました。
ただ、脆弱性の件数は多いため、油断は禁物です。

次回のアップデートは2026年11月の予定です。
しばらくアップデートリリースはありませんので、バージョンアップなどを進行するには良い時期と言えるでしょう。