Adobe Commerce / Magento Open Source に対する2026年9月のセキュリティパッチ第2弾がリリースされました

前回の記事では予定外のセキュリティパッチのリリースについてお知らせしました。

今回は、Adobeが公表している2026年のパッチリリーススケジュール通りのセキュリティパッチに関する情報です。
今回も新バージョンのリリースではなく、セキュリティパッチのみのリリースとなっています。

なお、Magento Open Source向けの2.4.7系より前のバージョンについてはメンテナンスがすでに終了しています。
そのため、2.4.4系〜2.4.6系用のパッチはAdobe Commerce専用のリリースとなります。

では、早速詳細を確認していくことにしましょう。

対象となるバージョン

2026年9月現在、Adobe Commerce / Magento Open Sourceのサポート対象となっているバージョン系統は、

  • 2.4.9
  • 2.4.8
  • 2.4.7

となっています。

前述の通りMagento Open Sourceの2.4.7系以前のバージョンはサポートが終了していますので、対象外です。
Adobe Commerceの2.4.4系〜2.4.6系に対してのみリリースが行われています。

そのため、今回のアップデートの対象バージョンは以下の通りです。

  • 2.4.9系 + 2026年8月のパッチ + 9月の第1弾パッチ
  • 2.4.8-p5 + 2026年8月のパッチ + 9月の第1弾パッチ
  • 2.4.7-p10 + 2026年8月のパッチ + 9月の第1弾パッチ
  • 2.4.6-p15 + 2026年8月のパッチ + 9月の第1弾パッチ
  • Adobe Commerce 2.4.5-p17 + 2026年8月のパッチ + 9月の第1弾パッチ
  • Adobe Commerce 2.4.4-p18 + 2026年8月のパッチ + 9月の第1弾パッチ

また、Adobe Commerce B2Bにおいては、

  • 1.5.3 + 2026年7月のパッチ + 9月の第1弾パッチ
  • 1.5.2-p5 + 2026年7月のパッチ + 9月の第1弾パッチ
  • 1.4.2-p10 + 2026年7月のパッチ + 9月の第1弾パッチ
  • 1.3.4-p17 + 2026年7月のパッチ + 9月の第1弾パッチ
  • 1.3.3-p18 + 2026年7月のパッチ + 9月の第1弾パッチ

が明確に対象であると示されています。

セキュリティパッチの内容

Adobe Security Bulletinによると、今回のセキュリティパッチでは8件の脆弱性が修正されているようです。
内訳としては、

  • Criticalが8件

となっています。
9月の第1弾パッチに比べればCVSSスコアは下がりますが、それでも危険であることに違いはありません。

CVE 種別（CWE） 影響 深刻度 CVSS CVSS ベクトル (3.1) 認証
CVE-2026-76200 格納型クロスサイトスクリプティング（CWE-79） 権限昇格 Critical 9.3 AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N 不要
CVE-2026-76201 格納型クロスサイトスクリプティング（CWE-79） 権限昇格 Critical 9.3 AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N 不要
CVE-2026-77111 不適切な認可（CWE-863） セキュリティ機能バイパス Critical 8.7 AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H 必要
CVE-2026-77109 不適切な認可（CWE-863） 権限昇格 Critical 8.6 AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N 不要
CVE-2026-77774 不適切な認可（CWE-863） セキュリティ機能バイパス Critical 8.6 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N 不要
CVE-2026-76202 不適切な認可（CWE-863） 権限昇格 Critical 8.2 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N 不要
CVE-2026-77110 パストラバーサル（CWE-22） セキュリティ機能バイパス Critical 7.6 AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:L 必要
CVE-2026-77108 不適切な認可（CWE-863） 権限昇格 Critical 7.5 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 不要

今回のリリースの緊急性について

Adobe Security Bulletinでは、緊急度を次の3段階に分けて示しています。

  • 緊急度1・・・最上位の緊急度。72時間以内に対処が必要。
  • 緊急度2・・・中位の緊急度。30日以内の対処を推奨。
  • 緊急度3・・・低位の緊急度。直ちに問題が起きることは考えにくいため、管理者の判断での適用が可能。

今回のリリースについては、

  • Adobe Commerce B2B・・・緊急度2
  • Adobe Commerce・・・緊急度2
  • Magento Open Source・・・緊急度2

となっています。
今回はパッチ適用を30日以内を目処に行えば問題はないとされています。

パッチ適用時の注意点

今回のセキュリティパッチは、最新バージョンのAdobe Commerce / Magento Open Sourceを対象としています。
「最新バージョン」の意味としては、

  • 2.4.9 + 2026年8月パッチ
  • 2.4.8-p5 + 2026年8月パッチ
  • 2.4.7-p10 + 2026年8月パッチ
  • 2.4.6-p15 + 2026年8月パッチ

のようにパッチバージョンが最新であるものが対象ということです。
また、冒頭でも書きましたが、前回のセキュリティパッチが適用済みである事が前提です。
それ以外の環境に対し、今回のセキュリティパッチを適用することは自己責任です。

まとめ

2026年9月のAdobe Commerce / Magento Open Sourceのセキュリティパッチは、前回よりも深刻度が高いものになりました。
しかも2回に分けてリリースされており、1回目のセキュリティパッチは72時間以内の適用が必要です。既に実際に被害が出ているとされています。

今回のパッチは1回目に比べれば深刻度は下がりますが、放置して良いものではありませんので、推奨に沿って粛々と適用作業を行いましょう。