Adobe Commerce と Magento の CISA KEV 掲載：影響を受ける版、更新、時系列
CISA は Adobe Commerce と Magento の欠陥を Known Exploited Vulnerabilities カタログに追加しました。これに関する Adobe のアドバイザリはそれより前に公開されており、悪用事例は把握していないと書かれています。このページでは、各出典の記述を記載のまま並べ、Adobe が示すバージョンをまとめます。以下の各記述は公式の出典にリンクしており、引用文もワンクリックで確認できます。このページには悪用の詳細を載せていません。
保存済みの出典と照合した最終確認日:
何が起きたか
-
CISA は に CVE-2026-48356 を Known Exploited Vulnerabilities カタログに追加し、Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability という名前で掲載しました。カタログに記載された期限は です。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-48356", "vendorProject": "Adobe", "product": "Commerce and Magento", "vulnerabilityName": "Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability", "dateAdded": "2026-10-27",
"dueDate": "2026-11-10",
-
カタログは CVE-2026-48356 を、危険な種類のファイルの無制限アップロードであり、現在のユーザーの権限で任意のコード実行につながり、被害者のアカウントやセッションに対する昇格したアクセスや制御を得られる可能性があるものと説明しています。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-48356",
Adobe Commerce and Magento contain an unrestricted upload of file with dangerous type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session.
-
CVE-2026-48356 について、カタログのランサムウェアキャンペーンでの既知の利用の欄は Unknown で、フォレンジックトリアージは不要と示されています。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-48356",
"knownRansomwareCampaignUse": "Unknown",
"forensicTriage": "No",
-
Adobe のアドバイザリは CVE-2026-48356 を Unrestricted Upload of File with Dangerous Type（CWE-434）として挙げ、脆弱性の影響を Privilege escalation、重大度を Critical としています。悪用に認証が必要かという項目の答えは No です。
引用文
CVE-2026-48356 Vulnerability category: Unrestricted Upload of File with Dangerous Type ( CWE-434 ) Vulnerability impact: Privilege escalation Severity: Critical Authentication required to exploit? No
-
Adobe は CVE-2026-48356 の CVSS 基本スコアを 9.6、ベクターを CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L としています。
引用文
CVE-2026-48356 Vulnerability category
CVSS base score: 9.6 CVSS vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L
アドバイザリとその後の KEV 掲載
これらの記述は、異なる時期に書かれた二つの出典のものです。このページは各記述を記載のまま示し、どちらが正しいかは判断しません。
-
Adobe のアドバイザリ APSB26-73 の公開日は で、ページには最終更新日が と表示されています。
引用文
Last updated on Aug 11, 2026
Bulletin ID Date published Priority APSB26-73 July 14, 2026 2
-
アドバイザリには、Adobe はこれらの更新で対処された問題のいずれについても、悪用が確認された事例を把握していない、と書かれています。
引用文
Adobe is not aware of any exploits in the wild for any of the issues addressed in these updates.
-
CISA は に CVE-2026-48356 をカタログに追加しており、そのエントリの注記は同じ Adobe のアドバイザリを指しています。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-48356",
"dateAdded": "2026-10-27",
"notes": "https://www.adobe.com/trust/security/products/commerce/apsb26-73.html ;
影響を受ける版と更新版
Adobe がアドバイザリで示しているバージョンです。ここに載せていない製品やバージョンは、このページの対象外です。
-
Adobe Commerce について、Adobe は影響を受けるバージョンを 2.4.9、2.4.8-p5 以前、2.4.7-p10 以前、2.4.6-p15 以前、2.4.5-p17 以前、2.4.4-p18 以前 としています。更新後のバージョンは 2.4.9-2026-jul、2.4.8-2026-jul、2.4.7-2026-jul、2.4.6-2026-jul、2.4.5-2026-jul、2.4.4-2026-jul です。
引用文
Adobe Commerce 2.4.9 2.4.8-p5 and earlier 2.4.7-p10 and earlier 2.4.6-p15 and earlier 2.4.5-p17 and earlier 2.4.4-p18 and earlier 2 All
Adobe Commerce 2.4.9-2026-jul 2.4.8-2026-jul 2.4.7-2026-jul 2.4.6-2026-jul 2.4.5-2026-jul 2.4.4-2026-jul All 2
-
Adobe Commerce B2B について、Adobe は影響を受けるバージョンを 1.5.3、1.5.2-p5 以前、1.4.2-p10 以前、1.3.4-p17 以前、1.3.3-p18 以前 としています。更新後のバージョンは 1.5.3-2026-jul、1.5.2-2026-jul、1.4.2-2026-jul、1.3.4-2026-jul、1.3.3-2026-jul です。
引用文
Adobe Commerce B2B 1.5.3 1.5.2-p5 and earlier 1.4.2-p10 and earlier 1.3.4-p17 and earlier 1.3.3-p18 and earlier 2 All
Adobe Commerce B2B 1.5.3-2026-jul 1.5.2-2026-jul 1.4.2-2026-jul 1.3.4-2026-jul 1.3.3-2026-jul All 2
-
Magento Open Source について、Adobe は影響を受けるバージョンを 2.4.9、2.4.8-p5 以前、2.4.7-p10 以前、2.4.6-p15 以前 としています。更新後のバージョンは 2.4.9-2026-jul、2.4.8-2026-jul、2.4.7-2026-jul、2.4.6-2026-jul です。
引用文
Magento Open Source 2.4.9 2.4.8-p5 and earlier 2.4.7-p10 and earlier 2.4.6-p15 and earlier 2 All
Magento Open Source 2.4.9-2026-jul 2.4.8-2026-jul 2.4.7-2026-jul 2.4.6-2026-jul All 2
-
Adobe Commerce Events について、Adobe は影響を受けるバージョンを 1.6.0 から 1.20.0 としています。更新後のバージョンは 1.21.0 です。
引用文
Adobe Commerce Events 1.6.0 to 1.20.0 2 All
Adobe Commerce Events 1.21.0 All 2
-
Adobe は、これらの更新に優先度の評価を付けたうえで、利用者にインストールを最新バージョンへ更新するよう推奨しています。
引用文
Adobe categorizes these updates with the following priority ratings and recommends users update their installation to the newest version.
確認と対応
-
CVE-2026-48356 について、CISA が求める対応は、ベンダーの指示に従って緩和策を適用し、BOD 26-04 のガイダンスに適合させること、そして緩和策が利用できない場合は製品の利用を中止することです。
出典: CISA Known Exploited Vulnerabilities catalog
引用文
"cveID": "CVE-2026-48356",
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance
or discontinue use of the product if mitigations are unavailable.
- 運用している Adobe Commerce、Adobe Commerce B2B、Magento Open Source、Adobe Commerce Events のインストールをすべて洗い出し、それぞれのバージョンを控えます。
- それぞれのバージョンを上の表の影響を受けるバージョンと見比べ、同じ表で自分のバージョン系列に対応する更新後のバージョンを確認します。
- その系列について Adobe が示すバージョンへ更新します。Adobe は最新バージョンへの更新を推奨しています。
- CISA のカタログは、上に示した期限までにベンダーの緩和策を適用すること、緩和策が利用できない場合は製品の利用を中止することを求めています。
- 時系列の節にある二つの記述は、記載のとおりに読んでください。バージョンと更新についてはアドバイザリが、CISA の掲載と期限についてはカタログのエントリが出典です。