2026年10月時点のAdobe Commerce / Magento Open Sourceで注意すべきセキュリティパッチ管理

先日、Adobe Commerce / Magento Open Source向けの予定されていたセキュリティリリースが終わりました。
リリーススケジュール上では、よほど緊急な脆弱性がない限りは、11月と12月についてはセキュリティリリースは行われません。
この記事では、2026年10月時点でのAdobe Commerce / Magento Open Sourceで注意するべきパッチ管理について解説していきたいと思います。

 Adobe Commerce / Magento Open Sourceのリリース方法の変化

2025年までと2026年以降のAdobe Commerce / Magento Open Sourceのリリースは大きな違いがあります。

  • 2025年まで：2.4.8-p3 のように「-p◯」の数字が定期的なセキュリティリリースごとに増える。緊急性の高い脆弱性については別途パッチを提供。
  • 2026年：年1回の正式リリース・Security Patch Releaseに加え、10月までの間は毎月Isolated Security Patchを提供。Isolated Security Patchを適用してもバージョン番号は変わらない。

2025年までのリリース形態は、わかりやすい反面以下のような問題もありました。

  • セキュリティ対応以外の仕様変更・機能追加が紛れ込む
  • サードパーティ製ライブラリの更新を伴うことがある
  • 変更範囲が大きいので、適用までに時間を要する

これらの理由によって、最新バージョンへのアップデートが渋られがちになり、脆弱性が放置されやすい状態になっていました。
そして2026年になってリリーススケジュールが大きく改められることになります。
具体的には、

  • 新バージョンのリリースは年1回（4月〜5月あたり）
  • 10月までの期間、毎月セキュリティパッチをリリース
  • 月次のIsolated Security Patchを適用してもバージョン番号は変わらない

というものに変わりました。
セキュリティ修正のみをリリースする形に変わったため、影響範囲がわかりやすくなり、パッチの公開から適用までの時間を短くすることが可能になりました。

2026年のリリース方法変更によって新たに気をつけるべきこと

現在のAdobe Commerce / Magento Open Sourceのリリースでは、以下の点に気をつける必要があります。

  • 初期インストールバージョンが何であるか
  • そのバージョンのリリース後に公開されたセキュリティパッチが何個あるか

例えば、最新の正式バージョンである2.4.9の場合は、

  • 2.4.9本体
  • 2026年7月パッチ
  • 2026年8月パッチ
  • StyleSmuggler (CVE-2026-75650)パッチ
  • 2026年9月パッチ
  • 2026年10月パッチ

という構成にする必要があります。
つまり、2.4.9をインストールしたあとで、5回分のパッチをリリースの順番に適用しなければ真に安全な環境にならない、ということです。

これは現在公式サポートが継続中の2.4.7系や2.4.8系でも同様です。

これらのリリースラインでは、まず2026年5月に公開された最新のSecurity Patch Release（2.4.7-p10、2.4.8-p5）までアップデートしたうえで、その後に公開されたIsolated Security Patchを順番に適用する必要があります。

古い「-p◯」のまま最新のIsolated Security Patchだけを適用することはできないため、構築・保守を開始する際には現在のベースバージョンを確認することが重要です。

パッチの適用状況は専用ツールで確認

Adobeは2026年7月パッチのリリースに含める形で、パッチの適用状況を確認するための専用ツールを提供しています。
このツールは以下のコマンドで実行できます。

php vendor/bin/patch-status

このツールでは、適用済み・未適用の月次セキュリティパッチに加え、各CVEについて現在の環境が保護されているかどうかも確認できます。

まとめ

2026年以降のAdobe Commerce / Magento Open Sourceのリリースは年1回の正式リリースと、複数回のセキュリティパッチリリースに改められました。
2025年までであれば「2.4.x-p◯を利用している」という情報である程度パッチレベルを判断できましたが、2026年以降はバージョン番号だけではセキュリティ状態を判断できません。今後はバージョン番号とあわせて、Isolated Security Patchの適用状況を管理する必要があります。

セキュリティパッチの適用は容易になりましたが、初期状態そのままでは非常に危険な状況になってしまっています。
これから次の正式リリースまでの間に構築を開始される場合は、きちんとリリースノートを確認し、必要とされるパッチを適用したうえで着手する必要があります。
2027年のリリーススケジュールは現時点では未発表ですが、2026年を踏襲する形になる場合はこれからもセキュリティパッチの厳格な適用と管理が必要になりそうです。