Adobe Commerce / Magento Open Source に対する2026年10月のセキュリティパッチがリリースされました
Adobeが公表している2026年のパッチリリーススケジュール通り、セキュリティパッチがリリースされました。
今回も新バージョンのリリースではなく、セキュリティパッチのみのリリースとなっています。
なお、Magento Open Source向けの2.4.7系より前のバージョンについてはメンテナンスがすでに終了しています。
そのため、2.4.4系〜2.4.6系用のパッチはAdobe Commerce専用のリリースとなります。
では、早速詳細を確認していくことにしましょう。
対象となるバージョン
2026年10月現在、Adobe Commerce / Magento Open Sourceのサポート対象となっているバージョン系統は、
- 2.4.9
- 2.4.8
- 2.4.7
となっています。
前述の通りMagento Open Sourceの2.4.7系以前のバージョンはサポートが終了していますので、対象外です。
Adobe Commerceの2.4.4系〜2.4.6系に対してのみリリースが行われています。
そのため、今回のアップデートの対象バージョンは以下の通りです。
- 2.4.9系 + 2026年8月のパッチ + 9月のパッチ
- 2.4.8-p5 + 2026年8月のパッチ + 9月のパッチ
- 2.4.7-p10 + 2026年8月のパッチ + 9月のパッチ
- 2.4.6-p15 + 2026年8月のパッチ + 9月のパッチ
- Adobe Commerce 2.4.5-p17 + 2026年8月のパッチ + 9月のパッチ
- Adobe Commerce 2.4.4-p18 + 2026年8月のパッチ + 9月のパッチ
また、Adobe Commerce B2Bにおいては、
- 1.5.3 + 2026年7月のパッチ + 9月のパッチ
- 1.5.2-p5 + 2026年7月のパッチ + 9月のパッチ
- 1.4.2-p10 + 2026年7月のパッチ + 9月のパッチ
- 1.3.4-p17 + 2026年7月のパッチ + 9月のパッチ
- 1.3.3-p18 + 2026年7月のパッチ + 9月のパッチ
が明確に対象であると示されています。
セキュリティパッチの内容
Adobe Security Bulletinによると、今回のセキュリティパッチでは11件の脆弱性が修正されているようです。
内訳としては、
- Criticalが5件
- Highが5件
- Mediumが1件
となっています。
2026年最後のセキュリティパッチということもあり、件数と内容ともに多くなっています。
| CVE番号 | 脆弱性カテゴリ | 影響 | 深刻度 | 認証要否 | 管理者権限 | CVSS基本値 | CVSSベクトル | 備考 |
|---|---|---|---|---|---|---|---|---|
| CVE-2026-103849 | テンプレートエンジンにおける特殊要素の不適切な無害化 (CWE-1336) | 任意のコード実行 | Critical | 不要 | 不要 | 10.0 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | |
| CVE-2026-92909 | 不適切な認可 (CWE-863) | 任意のコード実行 | Critical | 不要 | 不要 | 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | B2B |
| CVE-2026-91013 | クロスサイトスクリプティング（格納型XSS） (CWE-79) | 権限昇格 | Critical | 不要 | 不要 | 9.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N | |
| CVE-2026-100133 | クロスサイトスクリプティング（格納型XSS） (CWE-79) | 権限昇格 | Critical | 不要 | 不要 | 9.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N | |
| CVE-2026-92464 | 不適切な入力検証 (CWE-20) | 任意のコード実行 | Critical | 必要 | 必要 | 9.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H | |
| CVE-2026-92911 | クロスサイトスクリプティング（格納型XSS） (CWE-79) | 任意のコード実行 | High | 必要 | 不要 | 8.7 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N | |
| CVE-2026-95631 | 不適切な入力検証 (CWE-20) | 任意のファイルシステム書き込み | High | 必要 | 必要 | 8.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H | |
| CVE-2026-92908 | 不適切な認可 (CWE-863) | セキュリティ機能のバイパス | High | 必要 | 不要 | 8.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L | B2B |
| CVE-2026-92922 | クロスサイトスクリプティング（格納型XSS） (CWE-79) | 権限昇格 | High | 必要 | 必要 | 8.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N | |
| CVE-2026-92910 | 不適切な認可 (CWE-863) | セキュリティ機能のバイパス | High | 不要 | 不要 | 7.2 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N | B2B |
| CVE-2026-95630 | 不適切な入力検証 (CWE-20) | セキュリティ機能のバイパス | Medium | 必要 | 不要 | 4.3 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
※管理者権限の要不要については、CVSSベクトルの「PR:H」をもとに弊社で独自に記載。
今回のリリースの緊急性について
Adobe Security Bulletinでは、緊急度を次の3段階に分けて示しています。
- 緊急度1・・・最上位の緊急度。72時間以内に対処が必要。
- 緊急度2・・・中位の緊急度。30日以内の対処を推奨。
- 緊急度3・・・低位の緊急度。直ちに問題が起きることは考えにくいため、管理者の判断での適用が可能。
今回のリリースについては、
- Adobe Commerce B2B・・・緊急度2
- Adobe Commerce・・・緊急度2
- Magento Open Source・・・緊急度2
となっています。
今回はパッチ適用を30日以内を目処に行えば問題はないとされていますが、CVSSベクトルの内容から判断すると、これは緊急度1相当だと考えてよいでしょう。
パッチ適用時の注意点
今回のセキュリティパッチは、最新バージョンのAdobe Commerce / Magento Open Sourceを対象としています。
「最新バージョン」の意味としては、
- 2.4.9 + 2026年8月パッチ + 2026年9月パッチ
- 2.4.8-p5 + 2026年8月パッチ + 2026年9月パッチ
- 2.4.7-p10 + 2026年8月パッチ + 2026年9月パッチ
- 2.4.6-p15 + 2026年8月パッチ + 2026年9月パッチ
のようにパッチバージョンが最新であるものが対象ということです。
また、冒頭でも書きましたが、前回のセキュリティパッチが適用済みである事が前提です。
それ以外の環境に対し、今回のセキュリティパッチを適用することは自己責任です。
まとめ
2026年10月のAdobe Commerce / Magento Open Sourceのセキュリティパッチは、前回よりも件数や重要度ともに高いものになりました。
9月のように2回に分けてリリースされることはなかったものの、脆弱性の数は多くなっています。
また昨今は生成AIを悪用した攻撃が横行しているため、このような脆弱性の公表から攻撃の実行までの期間が以前よりも短くなっています。
今回の緊急性は2で、30日以内の適用が推奨されていますが、緊急度1だと思って対応することが望ましいと言えます。
