Adobe Commerce / Magento Open Source 2.4.6-p4 / 2.4.5-p6 / 2.4.4-p7がリリースされました

リリーススケジュール通り、Adobe CommerceとMagento Open Sourceに対するセキュリティアップデートが公開されました。
今回のセキュリティアップデートについては、Adobe Security Bulletinで概要が開示されています。

今回はこのセキュリティアップデートについて詳しく解説したいと思います。

対象となるバージョン

現在、Adobe Commerce / Magento Open Sourceのサポート対象となっているバージョン系統としては、

があります。（2.4.7はまだベータなので一旦話から除外しています）
Adobe Commerce向けには延長サポートして、2.4.3以前のバージョンに対するアップデートも提供されていますが、これはあくまでも希望者向けの限定的なものとなります。
本来のセキュリティアップデート対象としては、

ということになります。

Adobe Security Bulletinによると、今回のアップデートでは5件の脆弱性が修正されているようです。
このうち

となっており、重要度が高いものとなっています。
さて、もう1つのリリース情報として有益なものであるリリースノートを確認しておきましょう。

のそれぞれにリリースノートが用意されていますが、いずれも下記の2点のみとなっています。

とはいえ、肝心の脆弱性については触れられていないので、ソースの差分をみてみましょう。

2.4.6-p3から2.4.6-p4にアップデートを行った前後のソースコード差分を見ると、以下の箇所でコードの更新が起きていることがわかります。
（Adobe Commerce / Magento Open Source以外のライブラリや、テストケースなどは除外しています）

このうち、

のようなので、あまり気にしなくても良いでしょう。
そうなると対象は、

に絞られます。

そうなると、5件の脆弱性の殆どは上記の6ファイルが対象であるということになります。

ここで、先程のAdobe Security Bulletinに書かれていた内容に立ち返ってみましょう。
今回のアップデートでは、

となっています。
ファイル数は多くないので、目視で差分チェックできる範囲です。

今回のアップデートも、やはりセキュリティアップデート限定のため、影響範囲はさほど大きくありません。
反面、Security Bulletinに上がっている脆弱性には、深刻度の高いものが含まれています。
できるだけ早い段階でアップデートを実施するほうが良いとは思います。

なお、次のリリースは2024年4月9日（日本時間だと4月10日）の予定です。いよいよ新バージョンである2.4.7がリリースされる予定になっています。
同時にセキュリティパッチリリースも行われる予定なので、十分に注意が必要です。