Magento2.1系と2.2系の最新版となる、2.1.14と2.2.5がリリースされました。
今回のアップデートはセキュリティFIXと不具合修正がメインとなっています。

なお、今回のアップデートに関しては、コミュニティから150件もの改良が提供されています。
完全なリリースノートは公式サイトを見ていただくとして、ここではMagento2.2.5の特筆すべき点について取り上げます。

検索インデックスの改良

商品点数の多いサイトの場合、検索インデックスの再構築には非常に長い時間がかかります。
さらに、検索インデックスはストアビュー単位で作成されるため、ストアビューの数が多い場合にはより時間が必要になります。

2.2.5からは検索インデックスの更新をストアビュー単位で並列実行できるようになりました。
定時バッチ実行専用のサーバーを用意しておくことで、より早くインデックス更新が可能になりました。

注文確認画面からの会員登録

ゲスト状態で購入した方が購入完了後でも会員登録できる機能がもともとMagento2系には用意されているのですが、2.2.5からは会員登録時に必要な項目を正しくMagentoがチェックできる仕組みが追加されました。

セット商品に対するクーポン適用

2.2.4まではセット商品に対するクーポン適用が期待通り行われない問題がありました。
2.2.5ではこの問題は解消され、セット商品に対するクーポン適用が想定通り行われるようになりました。

定時バッチの重複実行禁止

Magento2系全般で、定時バッチの実行が重複することがありましたが、2.2.5からは重複実行ができないように改良されました。

動作対象PHPバージョンの変更

動作対象PHPバージョンが7.0.13以上に変更になりました。
2.2.5にアップデートする際は、PHPのバージョンを7.0.13以上にアップデートしてから行うようにしてください。

よく利用される商品検索結果のキャッシュ化

Magento2系の商品検索はあまり速くないため、検索を多用するサイトの場合は良好なパフォーマンスが得られませんでした。

2.2.5からは、よく使用される商品検索結果をキャッシュし、再利用するようになりました。

脆弱性の修正

同時にリリースされたMagento1系のものと内容が一部重複する部分もありますが、16件の脆弱性が修正されています。

SUPEE-10752で修正される脆弱性
脆弱性番号概要種別CVSS v3 リスクレベル対象バージョン
APPSEC-2014 スワッチモジュールにおける管理画面リモートコード実行 リモートコード実行 9.8(高)  2.1.14
APPSEC-2054 商品インポートにおけるリモートコード実行 リモートコード実行 8.9(高)  2.1.14
2.2.5
APPSEC-2042 管理画面のターゲットルール機能におけるPHPオブジェクトインジェクション リモートコード実行 8.9(高) 2.1.14
APPSEC-2055 スケジュールインポート・エクスポート管理画面におけるPHPオブジェクトインジェクション リモートコード実行 8.9(高) 2.1.14
APPSEC-2048 APIを介したSQLインジェクション SQLインジェクション 8.5(高) 2.1.14
2.2.5
APPSEC-2025 WYSIWYGエディタを介したディレクトリトラバーサル ディレクトリトラバーサル 8.2(高) 2.1.14
2.2.5
APPSEC-2044 BtoBカート機能におけるXSS XSS 8.1(中) 2.2.5
APPSEC-2026 通貨設定画面を介したリモートコード実行 リモートコード実行 8.1(高) 2.1.14
APPSEC-2063 フルページキャッシュにおける認証バイパス 情報漏えい 7.7(高) 2.1.14
2.2.5
APPSEC-2070 商品インポートにおけるパストラバーサル パストラバーサル 7.6(高) 2.1.14
2.2.5
APPSEC-2062 開発者ツールを介したリモートコード実行 リモートコード実行 7.6(高) 2.1.14
2.2.5
APPSEC-2027 ターゲットルール管理画面におけるPHPオブジェクトインジェクション リモートコード実行 7.4(高) 2.1.14
2.2.5
APPSEC-2010 URLシークレットキー無効化時のデザイン設定機能に対するCSRF CSRF 7.1(高) 2.1.14
2.2.5
APPSEC-2030 CMSリビジョンエディタにおける管理ユーザー名のXSS XSS 5.9(中) 2.1.14
APPSEC-1716 テンプレートにおけるX-Frame-Origin設定欠落 不適切なセキュリティ設定 3.7(低) 2.1.14
2.2.5
APPSEC-1993 IPスプーフィング 権限昇格 3.7(低) 2.1.14
2.2.5

Magento2系の場合はセキュリティパッチは提供されません。
必ず試験用の環境をご用意の上、アップデートを適用し、動作検証を行ってください。
独自にカスタマイズしている箇所や、サードパーティ製のエクステンションやテーマについては、Magento本体のセキュリティ修正とは別で対応が必要になることがあります。