OWN NEWS GATHER
← 戻る
The Hacker News

Adobe、Magentoの最大深刻度ゼロデイ脆弱性を修正——Rust製バックドアやWebシェルの設置に悪用

要点

  • 米Adobeは、ECプラットフォーム「Adobe Commerce」および「Magento Open Source」に存在する最大深刻度（CVSSスコア10.0）のゼロデイ脆弱性を修正するパッチを公開した。

  • 「CVE-2026-75650」（コードネーム「StyleSmuggler」）と名付けられたこの脆弱性は、すでに実際の攻撃で悪用されている。

  • 攻撃者は決済失敗通知のメールテンプレート処理を悪用し、認証なしで遠隔からコードを実行してRust製のLinuxバックドアやPHP Webシェルを設置していた。

  • Adobeは修正パッチ「VULN-39341」を配布するとともに、パッチ適用に加えて暗号化キーの再生成（ローテーション）を行うよう強く求めている。

  • 米Adobeは現地時間の月曜日、同社のオンラインストア構築基盤「Adobe Commerce」およびオープンソース版の「Magento Open Source」において、すでに実環境で悪用が確認されている重大な脆弱性に対処するセキュリティアップデートをリリースした。

  • 対象となる脆弱性「CVE-2026-75650」は、脆弱性の深刻度を評価する共通基準であるCVSS（Common Vulnerability Scoring System）において、最高値となるスコア「10.0」が割り当てられている。Adobeはセキュリティアドバイザリの中で、本脆弱性が悪用された場合に任意のコードが実行される危険性があるとした上で、「Adobe Commerceを利用する加盟店を標的とした実環境での悪用が行われていることを把握している」と説明している。

テンプレート処理を悪用する「StyleSmuggler」の仕組み

この脆弱性は、オランダのEコマースセキュリティ企業であるSansecによって発見され、「StyleSmuggler」というコードネームが付けられている。同社によると、修正プログラムが提供される前の2026年9月4日の時点で、すでに悪用（ゼロデイ攻撃）が始まっていたという。

問題の本質は、Magentoが備えるテンプレート処理システムの不備にある。攻撃者はPHPコードインジェクション（不正なプログラムコードを注入して実行させる手法）を用いてテンプレート機能を悪用する。具体的には、「Payment Transaction Failed Reminder（決済取引失敗リマインダー）」という通知メールを生成する処理をトリガーとして、サーバー上で不正なコードを実行させる仕組みだという。

オランダに拠点を置くEコマース開発プラットフォーム企業のDisrexは、この脆弱性について「Magento自身が持つテンプレート処理および依存性注入（プログラムの構成要素を外部から供給する設計手法）のコードを、認証を必要としないリモートコード実行（RCE）の連鎖へと変えてしまうものだ」と指摘している。

Rust製バックドアとWebシェルを送り込む攻撃の手口

Sansecの報告によると、攻撃者はこの脆弱性を悪用して、複数の不正なプログラムを標的のサーバーへ送り込んでいる。

確認されている手口の一つは、Rust言語で作成されたLinux向けのバックドア（遠隔から不正に侵入・操作するための裏口）を設置するものだ。このバックドアは感染したサーバーから外部のC2サーバー（指令サーバー）へ接続し、攻撃者からのさらなる指示を待機する挙動を示すという。

さらに別の攻撃例として、影響を受けるサイトに「PHPドロッパー」と呼ばれる不正ファイルを送り込む手口も確認されている。このドロッパーは、サーバー上に任意のPHPコードを実行可能なWebシェル（Webブラウザ経由でサーバーを遠隔制御する悪意あるスクリプト）を書き出す役割を果たす。

攻撃の進行速度は極めて速く、Disrexが管理するMagentoサーバーの事例では、2026年9月4日22時20分（UTC）にStyleSmugglerによる最初の悪用が報告されてから、わずか50分後にはサーバーが侵害されていたという。

影響を受ける製品バージョン

本脆弱性は、Adobe CommerceおよびMagento Open Sourceの広範なバージョンに影響を及ぼす。Adobeが公表した対象製品とバージョンは以下の通りである。

  • Adobe Commerce

    • 2.4.9-2026-aug およびそれ以前のバージョン
    • 2.4.8-2026-aug およびそれ以前のバージョン
    • 2.4.7-2026-aug およびそれ以前のバージョン
    • 2.4.6-2026-aug およびそれ以前のバージョン
    • 2.4.5-2026-aug およびそれ以前のバージョン
    • 2.4.4-2026-aug およびそれ以前のバージョン

  • Adobe Commerce B2B

    • 1.5.3-2026-aug およびそれ以前のバージョン
    • 1.5.2-2026-aug およびそれ以前のバージョン
    • 1.4.2-2026-aug およびそれ以前のバージョン
    • 1.3.4-2026-aug およびそれ以前のバージョン
    • 1.3.3-2026-aug およびそれ以前のバージョン

  • Magento Open Source

    • 2.4.9-2026-aug およびそれ以前のバージョン
    • 2.4.8-2026-aug およびそれ以前のバージョン
    • 2.4.7-2026-aug およびそれ以前のバージョン
    • 2.4.6-2026-aug およびそれ以前のバージョン

パッチ適用と暗号化キー更新による対処

Adobeは本脆弱性を修正するためのホットフィックス（緊急修正プログラム）を公開し、専用のダウンロードリンク（repo.magento[.]com/patch/VULN-39341-composer-patches.zip）を通じて配布を行っている。

同社は影響を受ける製品を利用している管理者に対し、各バージョンに対応する「VULN-39341」パッチを適用することに加え、システムで使用されている暗号化キーを再生成（ローテーション）する作業を行うよう強く求めている。

元URL