Adobe Commerce / Magento Open Source に対する2026年9月のセキュリティパッチがリリースされました

リリーススケジュールでは日本時間の9月9日が予定日ですが、1日前倒しする形で2026年9月のAdobe Commerce / Magento Open Source向けセキュリティパッチがリリースされました。

今回のセキュリティパッチは重要度が最高のレベル1となっています。72時間以内の適用が推奨されており、既に被害が出ていると報告されています。

対象となるバージョン

2026年9月現在、Adobe Commerce / Magento Open Sourceのサポート対象となっているバージョン系統は、

  • 2.4.9
  • 2.4.8
  • 2.4.7
  • 2.4.6

となっています。

前述の通りMagento Open Sourceの2.4.4系と2.4.5系はサポートが終了していますので、対象外です。
Adobe Commerceの2.4.4系と2.4.5系に対してのみリリースが行われています。
Magento Open Sourceの2.4.6系は先月のリリースでサポート終了のはずですが、今回のリリースでは対象となっているようです。

そのため、今回のアップデートの対象バージョンは以下の通りです。

  • 2.4.9系 + 2026年8月のパッチ
  • 2.4.8-p5 + 2026年8月のパッチ
  • 2.4.7-p10 + 2026年8月のパッチ
  • 2.4.6-p15 + 2026年8月のパッチ
  • Adobe Commerce 2.4.5-p17 + 2026年8月のパッチ
  • Adobe Commerce 2.4.4-p18 + 2026年8月のパッチ

また、Adobe Commerce B2Bにおいては、

  • 1.5.3 + 2026年8月のパッチ
  • 1.5.2-p5 + 2026年8月のパッチ
  • 1.4.2-p10 + 2026年8月のパッチ
  • 1.3.4-p17 + 2026年8月のパッチ
  • 1.3.3-p18 + 2026年8月のパッチ

が明確に対象であると示されています。

セキュリティパッチの内容

Adobe Security Bulletinによると、今回のセキュリティパッチでは1件の脆弱性が修正されているようです。
たった1件ですが、既にゼロデイ攻撃による被害が出ているとSanSecは報じています。

今回のセキュリティパッチでは、CVSSスコア10の脆弱性「不正コード実行」が修正されています。
この脆弱性をつくためには管理者権限も、認証情報の奪取も不要です。

今回のリリースの緊急性について

Adobe Security Bulletinでは、緊急度を次の3段階に分けて示しています。

  • 緊急度1・・・最上位の緊急度。72時間以内に対処が必要。
  • 緊急度2・・・中位の緊急度。30日以内の対処を推奨。
  • 緊急度3・・・低位の緊急度。直ちに問題が起きることは考えにくいため、管理者の判断での適用が可能。

今回のリリースについては、

  • Adobe Commerce B2B・・・緊急度1
  • Adobe Commerce・・・緊急度1
  • Magento Open Source・・・緊急度1

となっています。
72時間以内の適用が必要です。既にゼロデイ攻撃による被害報告がでていますので、放置は大変に危険です。

SanSecは、このパッチがでる前の暫定対策として、

GraphQLによるシステム外からのアクセスを遮断する

ことを提案しています。
もし、今回のパッチを迅速に適用できそうにない場合は、検討してみてください。

パッチ適用時の注意点

今回のセキュリティパッチは、最新バージョンのAdobe Commerce / Magento Open Sourceを対象としています。
「最新バージョン」の意味としては、

  • 2.4.9 + 2026年8月パッチ
  • 2.4.8-p5 + 2026年8月パッチ
  • 2.4.7-p10 + 2026年8月パッチ
  • 2.4.6-p15 + 2026年8月パッチ

のようにパッチバージョンが最新であるものが対象ということです。
また、冒頭でも書きましたが、前回のセキュリティパッチが適用済みである事が前提です。
それ以外の環境に対し、今回のセキュリティパッチを適用することは自己責任です。

まとめ

2026年9月のAdobe Commerce / Magento Open Sourceのセキュリティパッチは、緊急度が最大かつ1日前倒しリリースとなりました。

ただし、前回同様「最新バージョンのみ」が適用対象である点には注意が必要です。
まだ前回のセキュリティパッチを適用していないサイトについては、まずは2026年5月のリリースバージョンへ更新する作業を行いましょう。

もし72時間以内の適用ができない場合は、GraphQLリクエストをシステム外から受け付けないようにする対処を行ってみてください。