Adobe セキュリティ速報

Adobe Commerce に関するセキュリティアップデート公開 | APSB26-05

情報 ID	公開日	優先度
APSB26-05	2026年3月10日	2

要約

Adobe Commerce および Magento Open Source のセキュリティアップデートが公開されました。このアップデートにより、クリティカルな脆弱性、重要な脆弱性および中度の脆弱性が解決されます。これらの脆弱性が悪用されると、セキュリティ機能のバイパス、アプリケーションのサービス拒否、権限昇格、任意のコード実行、および任意のファイルシステム読み取りにつながる可能性があります。

本アップデートによって修正される脆弱性が、広く悪用されているという事例は確認されていません。

対象のバージョン

製品名	バージョン	優先度評価	プラットフォーム
Adobe Commerce	2.4.9-alpha3 以前 2.4.8-p3 以前 2.4.7-p8 以前 2.4.6-p13 以前 2.4.5-p15 以前 2.4.4-p16 以前	2	すべて
Adobe Commerce B2B	1.5.3-alpha3 以前 1.5.2-p3 以前 1.4.2-p8 以前 1.3.5-p13 以前 1.3.4-p15 以前 1.3.3-p16 以前	2	すべて
Magento Open Source	2.4.9-alpha3 2.4.8-p3 以前 2.4.7-p8 以前 2.4.6-p13 以前 2.4.5-p15 以前	2	すべて

製品名

バージョン

優先度評価

プラットフォーム

Adobe Commerce

2.4.9-alpha3 以前

2.4.8-p3 以前

2.4.7-p8 以前

2.4.6-p13 以前

2.4.5-p15 以前

2.4.4-p16 以前

2

すべて

Adobe Commerce B2B

1.5.3-alpha3 以前

1.5.2-p3 以前

1.4.2-p8 以前

1.3.5-p13 以前

1.3.4-p15 以前

1.3.3-p16 以前

2

すべて

Magento Open Source

2.4.9-alpha3

2.4.8-p3 以前

2.4.7-p8 以前

2.4.6-p13 以前

2.4.5-p15 以前

2

すべて

解決策

アドビは、これらのアップデートを次の優先度評価に分類しており、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。

製品名	アップデートバージョン	プラットフォーム	優先度評価	インストール手順
Adobe Commerce	2.4.9-beta1 は 2.4.9-alpha3 向け 2.4.8-p4 は 2.4.8-p3 以前向け 2.4.7-p9 は 2.4.7-p8 以前向け 2.4.6-p14 は 2.4.6-p13 以前向け 2.4.5-p16 は 2.4.5-p15 以前向け 2.4.4-p17 は 2.4.4-p16 以前向け	すべて	2	2.4.x リリースノート
Adobe Commerce B2B	1.5.3-beta1 は 1.5.3-alpha3 向け 1.5.2-p4 は 1.5.2-p3 以前向け 1.4.2-p9 は 1.4.2-p8 以前向け 1.3.5-p14 は 1.3.5-p13 以前向け 1.3.4-p16 は 1.3.4-p15 以前向け 1.3.3-p17 は 1.3.3-p16 以前向け	すべて	2
Magento Open Source	2.4.9-beta1 は 2.4.9-alpha3 向け 2.4.8-p4 は 2.4.8-p3 以前向け 2.4.7-p9 は 2.4.7-p8 以前向け 2.4.6-p14 は 2.4.6-p13 以前向け 2.4.5-p16 は 2.4.5-p15 以前向け	すべて	2	2.4.9-beta1 リリースノート

アドビは、これらのアップデートを次の優先度評価に分類しており、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。

脆弱性に関する詳細

脆弱性のカテゴリー	脆弱性の影響	深刻度	悪用する場合に認証が必要か？	悪用する場合に管理者権限が必要か？	CVSS 基本スコア	CVSS ベクター	CVE 番号
クロスサイトスクリプティング（保存済み XSS）（CWE-79）	権限昇格	クリティカル	はい	はい	8.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N	CVE-2026-21361
クロスサイトスクリプティング（保存済み XSS）（CWE-79）	権限昇格	クリティカル	はい	はい	8.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N	CVE-2026-21284
不正な承認（CWE-863）	セキュリティ機能のバイパス	クリティカル	はい	いいえ	7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2026-21289
クロスサイトスクリプティング（保存済み XSS）（CWE-79）	権限昇格	クリティカル	はい	はい	8.7	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N	CVE-2026-21290
クロスサイトスクリプティング（保存済み XSS）（CWE-79）	権限昇格	クリティカル	はい	いいえ	8.0	CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N	CVE-2026-21311
不正な承認（CWE-863）	権限昇格	クリティカル	はい	いいえ	7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2026-21309
不正な承認（CWE-863）	セキュリティ機能のバイパス	重要	はい	はい	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N	CVE-2026-21285
不正な承認（CWE-863）	セキュリティ機能のバイパス	重要	はい	はい	5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N	CVE-2026-21286
クロスサイトスクリプティング（保存済み XSS）（CWE-79）	任意のコード実行	重要	はい	はい	4.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N	CVE-2026-21291
クロスサイトスクリプティング（保存済み XSS）（CWE-79）	任意のコード実行	重要	はい	はい	5.4	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N	CVE-2026-21292
サーバー側要求偽造（SSRF）（CWE-918）	セキュリティ機能のバイパス	重要	はい	はい	5.5	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N	CVE-2026-21293
サーバー側要求偽造（SSRF）（CWE-918）	セキュリティ機能のバイパス	重要	はい	はい	5.5	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N	CVE-2026-21294
不正な承認（CWE-863）	セキュリティ機能のバイパス	重要	はい	いいえ	4.7	CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:N/I:L/A:L	CVE-2026-21359
制限付きディレクトリへのパス名の制限（「パストラバーサル」）が正しくありません。（CWE-22）	セキュリティ機能のバイパス	重要	はい	はい	6.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N	CVE-2026-21360
不適切な入力検証（CWE-20）	セキュリティ機能のバイパス	重要	はい	はい	5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L	CVE-2026-21282
不適切な入力検証（CWE-20）	セキュリティ機能のバイパス	重要	はい	はい	5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N	CVE-2026-21310
不正な承認（CWE-863）	セキュリティ機能のバイパス	重要	はい	はい	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N	CVE-2026-21296
不正な承認（CWE-863）	セキュリティ機能のバイパス	重要	はい	はい	4.3	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N	CVE-2026-21297
信頼できないサイトへの URL リダイレクト（「オープンリダイレクト」）（CWE-601）	セキュリティ機能のバイパス	中度	はい	いいえ	3.1	CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N	CVE-2026-21295

注意：

悪用する場合に認証が必要: この脆弱性は、資格情報がないと悪用される可能性があります（またはありません）。

悪用する場合に管理者権限が必要: この脆弱性は、管理者権限を持つ攻撃者のみによって悪用される可能性があります（またはありません）。

謝辞

一連の問題を報告し、ユーザーの保護にご協力いただいた以下の研究者の皆様に対し、アドビより厚く御礼を申し上げます。

Akash Hamal 氏（akashhamal0x01）- CVE-2026-21285、CVE-2026-21286、CVE-2026-21296、CVE-2026-21297、CVE-2026-21310
jk-brah -- CVE-2026-21284
Simon M -- CVE-2026-21289
raywolfmaster -- CVE-2026-21290、CVE-2026-21291、CVE-2026-21292
truff - CVE-2026-21293、CVE-2026-21294、CVE-2026-21361
schemonah -- CVE-2026-21295
archyxsec -- CVE-2026-21311
thlassche -- CVE-2026-21282
0x0.eth (0x0doteth) -- CVE-2026-21309
fqdn -- CVE-2026-21359
icare -- CVE-2026-21360

注：アドビは、HackerOne と公開バグバウンティープログラムを実施しています。外部セキュリティリサーチャーとしてアドビで働くことに興味がある方は、https://hackerone.com/adobe をご覧ください。.

詳しくは、https://helpx.adobe.com/jp/security.htmlを参照するか、PSIRT@adobe.com 宛てに電子メールでお問い合わせください。

Adobe セキュリティ速報

要約

対象のバージョン

解決策

脆弱性に関する詳細

謝辞

ヘルプをすばやく簡単に入手

このページを共有

アドビサポートコミュニティ

サポート