Adobe CommerceとMagentoの脆弱性「PolyShell」（CVE-2026-48356）が悪用確認リスト入り — 3月から攻撃が続くECサイトの裏口、7月の修正と侵害の有無を制作会社に確認を
米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は2026年10月27日、Adobe CommerceとMagento Open Sourceの脆弱性CVE-2026-48356を、悪用が確認された脆弱性の一覧（KEV）に追加した。ECサイトに危険なファイルを送り込める脆弱性で、Adobeは2026年7月14日の更新（APSB26-73）で修正している。セキュリティ企業のSansecはこの脆弱性を「PolyShell」と名付け、3月から攻撃が続いていると報告してきた。自社のネットショップをMagentoで動かし、保守を制作会社に任せている中小企業は、7月の更新が当たっているかを今すぐ確かめたい。
背景
CVE-2026-48356は、危険な種類のファイルを制限なくアップロードできてしまう脆弱性（CWE-434）である。Adobeの評価では深刻度は「緊急」、CVSS基本値は9.6で、悪用にログインは要らない。米国の脆弱性データベース（NVD）は9.3と評価している。
Sansecの解説（2026年3月17日公開）によると、問題はMagentoのREST APIにある。買い物かごに商品を入れる処理では、商品オプションとしてファイルを添付できる。ところがこの処理では、指定されたオプションが本当にその商品にあるか、ファイル添付を受け付ける種類か、拡張子が安全かを確かめていなかった。唯一の確認は「画像として読めるか」だけで、画像に見せかけたPHPのプログラムを送り込めば通ってしまう。ログインしていない客の買い物かご（ゲストカート）からも送れるため、攻撃者は会員登録すら要らない。送り込まれたファイルは pub/media/custom_options/quote/ 配下に保存され、Webサーバーの設定によっては、そのままプログラムとして動かされる。
時系列は次のとおりである。
- 2026年3月16日：Sansecが最初の攻撃の試みを観測。3月19日から自動化された大規模な探索が始まる
- 3月17日：Sansecが脆弱性を「PolyShell」として公表。当時は本番で使われている版向けの修正がなかった
- 3月30日：Sansecが、1時間で471店が侵害された攻撃の波を報告。侵入後にWebシェル（遠隔操作用の裏口）を置き、店のページに外部のスクリプトを読み込ませていた
- 7月14日：AdobeがAPSB26-73を公開し、各系列の修正版を提供。公開時点でAdobeは「悪用は把握していない」としていた
- 10月24日：Sansecが、同じ攻撃者が新しいドメインに乗り換え、83店のページにスクリプトを仕込んでいたと報告。2025年7月以降、この攻撃者が手を入れた店は953店にのぼる
- 10月27日：CISAがKEVに追加。米国の連邦機関には11月10日までの対応を求めている
Adobeの公表では、対象はAdobe Commerceの2.4.9、2.4.8-p5以前、2.4.7-p10以前、2.4.6-p15以前、2.4.5-p17以前、2.4.4-p18以前、Magento Open Sourceの2.4.9、2.4.8-p5以前、2.4.7-p10以前、2.4.6-p15以前などである。修正版は「2.4.9-2026-jul」「2.4.8-2026-jul」のように、各系列の末尾に「2026-jul」が付いた版になる。
リスクの全体像
この脆弱性を突かれると、攻撃者は店のサーバーに裏口を置ける。裏口があれば、商品ページや決済画面を書き換えられる。過去には、決済画面に不正なプログラムを仕込み、カード番号とセキュリティコードを盗む手口の被害が国内でも出ている。客が入力したカード情報がそのまま攻撃者に送られれば、店は売上の停止、カード会社への報告、客への返金や通知に追われる。
見落としやすいのは、修正を当てても裏口は消えないことである。Sansecの10月の報告では、新しいドメインに切り替わった83店のうち60店は、以前の攻撃ですでに手を入れられていた店だった。スクリプトを消しても、攻撃者はデータベースに書き込める状態のまま残る。3月から7月まで修正がなかった以上、7月より前に攻撃を受けていた店は、更新に加えて侵害の有無の調査が要る。
もう1つの問題は、保守の分担である。中小のEC事業者では、Magentoの構築と更新を制作会社に任せ、自社では版数を把握していないことが多い。制作会社との契約に「セキュリティ更新を何日以内に当てるか」が書かれていなければ、7月の修正が今も当たっていない可能性がある。
チェックリスト
MagentoまたはAdobe Commerceで自社ECを運営している企業は、次の点を確かめる。
- 自社ECの版数は何か。末尾に「2026-jul」以降の付いた版になっているか（制作会社・保守会社に確認する）
- 7月14日以降、いつ更新を当てたか。当てるまでの期間に攻撃を受けた形跡がないかを調べたか
- Webサーバーの設定で、
pub/media/custom_options/配下へのアクセスを拒否しているか - CMSの固定ブロックや固定ページに、心当たりのない外部ドメインのスクリプトが入っていないか
- サーバー上に、心当たりのないPHPファイル（例:
accesson.php、index.phpの前に数字が付いた名前など）が置かれていないか - 保守契約に、セキュリティ更新を当てる期限と、侵害時の調査の範囲が書かれているか
打ち手
最初に、制作会社か保守会社へ連絡し、版数と更新の適用日を書面で回答してもらう。7月の修正が当たっていなければ、すぐに更新する。すぐに更新できない場合は、つなぎの対策として、Webサーバーで pub/media/custom_options/ 配下へのアクセスを拒否する設定を入れる。ただしSansecは、この設定だけではファイルの書き込み自体は止められないと注意している。API呼び出しそのものを止めるWAF（Webアプリケーションを守る防御装置）を併用するのが望ましい。
次に、侵害されていないかを調べる。サーバー上の不審なファイル、CMSに入れられた外部スクリプト、見覚えのない管理者アカウントを確認する。自社や制作会社で判断が難しければ、ECサイトの調査に慣れたセキュリティ会社に依頼する。侵害が見つかった場合は、カード会社や決済代行会社に早めに相談し、カード情報の流出の有無を調べてもらう。
中長期では、保守契約を見直す。重大な脆弱性の更新は何日以内に当てるか、更新したら誰に報告するかを契約に書いておく。自社で版数を1行で控えておくだけでも、次に同じような公表が出たときの確認が早くなる。
あわせて読みたい
- ECサイト構築サービス「futureshop」に不正アクセス、1店舗の会員約315万件が流出 — SaaS型ECで出店する中小企業が確かめること
- 23万件が漏えいしたECサイト不正アクセス ― パスワードのハッシュ化では守れないもの
- 国産WAF「SiteGuard Server Edition」の統計機能にroot権限を奪われる脆弱性（CVE-2026-106931）、悪用を確認 — 更新の前に「診断情報」を保存する
Omamori AI の結論
- 事実: Adobe CommerceとMagentoのファイルアップロードの脆弱性CVE-2026-48356（PolyShell）が、10月27日にCISAの悪用確認リストに入った。Sansecは3月から攻撃を観測し、Adobeは7月14日に修正版を出している。
- 判断軸: 修正を当てても、それ以前に置かれた裏口は残る。更新の有無に加え、7月より前に侵入されていないかを問う。
- 打ち手: 制作会社に版数と更新日を確認し、未適用ならすぐ更新する。あわせて不審なファイルと外部スクリプトを調べ、保守契約に更新の期限を書き込む。
経営者視点で考えるべきこと
ネットショップの構築を外部に任せると、経営者は「動いているから大丈夫」と考えがちである。しかし今回の脆弱性は、Sansecの公表からAdobeの各系列向け修正版まで約4か月あり、その間も攻撃が続いていた。経営者が押さえるべきことは、自社ECの版数、最後に更新した日、更新を誰が担うかの3点である。制作会社に「うちのECは7月の修正を当てているか」と一言聞くだけで、カード情報の流出という最悪の事態を避けられる可能性がある。答えがすぐに返ってこないなら、保守の体制そのものを見直す時期である。
