フォローする Adobeは、攻撃者がすでに野外で悪用しているAdobe CommerceおよびMagento Open Sourceの最大深刻度の脆弱性に対処する緊急セキュリティ更新をリリースしました。CVE-2026-75650として追跡され、CVSSスケールで10.0と評価されたこの欠陥は、認証されていないリモートコード実行を脆弱なeコマースサーバーで可能にします。
この脆弱性は、 StyleSmuggler とeコマースセキュリティ企業Sansecによって名付けられ、Magentoのテンプレート処理機能を悪用して悪意のあるPHPコードを注入および実行します。攻撃は、Adobeが9月7日に緊急のホットフィックスをリリースする数日前の2026年9月4日に初めて確認されました。
脅威アクターは、すでにゼロデイを使用してRustベースのLinuxバックドアを展開し、別の攻撃で任意のPHPコマンドを実行できるPHPウェブシェルを利用しています。悪用には有効なMagentoアカウントやユーザーの操作が必要ないため、脆弱なビルドを実行しているインターネットに面したストアは、パッチ適用と過去の調査のために優先度の高いターゲットと見なすべきです。
CVE-2026-75650の分析
Adobeは、この脆弱性を CWE-1336: テンプレートエンジンで使用される特別な要素の不適切な中和として分類しています。そのCVSSベクターは、ネットワークベースの悪用、低攻撃複雑性、特権なし、ユーザー操作不要を示しており、機密性、完全性、可用性に潜在的に高い影響を与える可能性があります。
CVE-2026-75650に関する最も重要な詳細は、通常のアプリケーション処理中にMagentoが攻撃者が制御するデータを実行可能なPHPに変換する方法に関連しています。StyleSmugglerは、悪意のある拡張機能や管理者アカウントに依存するのではなく、テンプレート指示と内部の依存性注入機能を悪用しています。
高レベルでは、知られている攻撃は2つの段階を経ます。最初に、攻撃者が制御するPHPコンテンツが、後でMagentoがアクセスできるファイル、例えばアプリケーションログやレポートに書き込まれます。次のリクエストにより、Magentoのテンプレート処理チェーンが依存性注入スキャナ機能に到達し、PHPのincludeまたはrequire_onceを使用して毒されたファイルをロードします。これらの関数がファイルを単に読み取るのではなくPHPを解釈するため、攻撃者が制御するコードがサーバーで実行されます。
Sansecは、このチェーンのもう一つの観測可能な側面について説明しています：攻撃者は意図的にMagentoの通常の 支払い処理失敗リマインダー メールをトリガーします。悪意のあるコードは、Magentoがテンプレートをレンダリングする際に実行されるため、顧客や管理者がメールを開く必要はありません。実際のメール配信が失敗しても、悪用は成功する可能性があります。
CVE-2026-75650は、Adobeの緊急速報によると、以下のAdobe Commerceブランチに影響します：
- 2.4.9-2026-augおよびそれ以前
- 2.4.8-2026-augおよびそれ以前
- 2.4.7-2026-augおよびそれ以前
- 2.4.6-2026-augおよびそれ以前
- 2.4.5-2026-augおよびそれ以前
- 2.4.4-2026-augおよびそれ以前
影響を受けるAdobe Commerce B2Bバージョンには以下が含まれます：
- 1.5.3-2026-augおよびそれ以前
- 1.5.2-2026-augおよびそれ以前
- 1.4.2-2026-augおよびそれ以前
- 1.3.4-2026-augおよびそれ以前
- 1.3.3-2026-augおよびそれ以前
Magento Open Sourceブランチは2.4.9-2026-augまでがAdobeの速報に含まれています。
Sansecは、クリーンなMagento Open Source 2.4.7、2.4.8、2.4.9インストールで完全な未認証の攻撃チェーンを独自に再現しました。最初に確認された侵害された顧客は、7月と8月のセキュリティ更新が適用されたMagento 2.4.6-p15を実行しており、9月7日以前に完全にパッチを適用されたと考えられたシステムが依然としてゼロデイに対して脆弱であることを示しています。
リモートコード実行が達成されると、妥協はMagento自体を超えて拡大します。最初に観察されたキャンペーンでは、永続性を確立し、正当なシステム活動として偽装して攻撃者のインフラストラクチャと通信する小さなRustベースのLinuxインプラントが展開されました。
初期バージョンは、カーネルワーカープロセスとして偽装されました：
[kworker/u:8:0]後のビルドでは、次の名前を採用しました：
fc-cache
および：
chronyd
fc-cacheバリアントは自分自身を~/.cache/fontconfig/fc-cacheに格納し、1時間に2回再起動するエントリをcronに追加し、NTP通信を模倣したUDPポート123のトラフィックを使用しました。Sansecは関連するドメインが9月7日時点で185.157.160.251に解決されたと報告しています。
別の攻撃者が同じ脆弱性を悪用し、小さなPHPドロッパーを配布するのが観察されました。そのペイロードは、次のようなパスに隠されたPHPウェブシェルを作成しました：
pub/media/catalog/product/cache/ss_<10hex>/sync_<10hex>.php
通常、そのシェルはHTTP 404レスポンスを返しましたが、必要なX-Cache-Tokenヘッダーを含むリクエストはPOSTパラメータを介してPHPコードを提供することができました。
これらの観察は、StyleSmugglerが単一のマルウェアファミリーや脅威アクターに限定されないことを示しています。複数の敵対者が独立して基盤となるRCEを利用して、それぞれの好ましい永続性や事後侵害のツールを展開することができます。
Sansecは最初の確認済みの悪用を 9月4日22時20分UTCに記録しました。Disrexによって調査された別のMagentoサーバーは、約50分後に侵害されました。Adobeは9月7日に速報APSB26-146と公式の緊急ホットフィックスをリリースし、すでに野外での悪用が発生していることを確認しました。
SansecおよびDisrexは、基盤となるチェーンについて広範な技術情報を発表しましたが、悪用を簡単に再現できる完全な武器化されたリクエストは故意に公開していません。
役に立つ CVE-2026-75650 IOC には、Rustインプラントに関連する疑わしいプロセスやファイル、Magentoメディアディレクトリの下の異常なPHPファイル、予期しない支払い処理失敗リマインダーのアクティビティ、Sansecによって特定されたインフラなどが含まれます。防御者は、調査をMagentoのウェブルートに限定するのではなく、悪意のあるレポートやログの内容についても検索を行うべきです。
CVE-2026-75650の軽減
AdobeはAPSB26-146を 優先度1 に分類し、影響を受ける顧客に専用の VULN-39341 ホットフィックスを直ちに適用するよう指示しています。公式のパッチパッケージは、影響を受けたCommerceおよびMagento Open Sourceリリースに対してAdobeのMagentoリポジトリを介して配布されます。
Adobeはさらに顧客に、ホットフィックスを適用した後に 暗号鍵を回転させるよう指示しています。これは、9月7日以前に露出されたストアに特に重要です。成功した任意のコード実行は、攻撃者にアプリケーションの秘密やサーバー側の機密設定へのアクセスを許可している可能性があります。
したがって、CVE-2026-75650の検出は3つの質問から始めるべきです：
- ストアは、9月4日からAdobeのホットフィックスのインストールまでインターネットにアクセス可能でしたか？
- VULN-39341は正常に適用されましたか？
- 修復前にPHPまたはネイティブプロセスが起動された兆候がありますか？
CVE-2026-75650の悪用または事後侵害活動を検出するには、セキュリティチームは以下を探すべきです：
- 予期しない支払い処理失敗リマインダーのメールの急増
- Magentoログやvar/report/の下のファイルにおける疑わしいPHPコンテンツ
- 不自然なx_trace_文字列を含むレポートファイル
- [kworker/u:8:0]、fc-cache、chronydとして偽装しているプロセス
- ~/.local/share/.gvfsd/ または ~/.cache/fontconfig/fc-cache
- 不明なバイナリを再起動する疑わしいcronジョブ
- pub/media/の下の予期しないPHPファイル
- pub/media/catalog/product/cache/の下のウェブシェル
- 既知のStyleSmugglerインフラに対するアウトバウンドトラフィック
- Magentoアプリケーションホストからの異常なUDP/123通信
- 異常なテンプレート処理動作を伴う予期しないHTTPリクエスト
- 新しいアプリケーションユーザー、不審なウェブ活動後の変更された資格情報またはサーバー設定
管理者は、Magentoディレクトリから疑わしいファイルを削除することで妥協が解消されるとは思わないでください。調査された事件では、マルウェアはウェブルートの外に移動し、cronベースの永続性を作成し、削除されたファイルから継続的に実行し、削除後も永続性の一部を再作成できました。
したがって、CVE-2026-75650の軽減プロセスには、パッチを適用する前に公開されていたストアへのインシデント対応を含める必要があります。妥協の兆候が発見された場合、ホストを隔離し、法医学的証拠を保存し、悪意のあるプロセスを終了させ、永続化メカニズムを特定し、ファイルシステムの変更を確認し、影響を受けたサーバーからアクセス可能な資格情報と秘密を更新してください。
特に注意を払うべきもの：
- Magento管理者の資格情報
- Adobe Commerceの暗号鍵
- データベースの資格情報
- APIと統合の秘密
- 支払いおよびサードパーティのサービス資格情報
- SSHの資格情報
- アプリケーションホストからアクセス可能なクラウドやホスティングトークン
セキュリティチームは、Magentoアプリケーションファイルと拡張機能の整合性を確認し、外部のコマンド・アンド・コントロールインフラストラクチャとの通信の兆候を追跡してアウトバウンドネットワーク活動を調査する必要もあります。
最初のStyleSmuggler攻撃は公式パッチや公開された検出署名が利用可能になる前に発生したため、店が現在更新されていることを確認するだけでは、それが侵害されていなかったことが確立されません。9月4日から7日のゼロデイウィンドウ中に動作していたインターネットに面した脆弱なシステムは、履歴の確認の対象となります。
FAQ
CVE-2026-75650とは何で、どのように機能しますか？
CVE-2026-75650は、Adobe CommerceとMagento Open SourceにおけるCVSS 10.0の認証されていないリモートコード実行の脆弱性です。攻撃者はMagentoのテンプレート処理機能を悪用してPHPでサーバーアクセス可能なファイルを毒し、その後内部コードパスをトリガーして悪意のあるコンテンツをロードおよび実行します。この攻撃には有効なMagentoアカウントやユーザーの操作は必要ありません。
CVE-2026-75650はいつ最初に発見されましたか？
Sansecは、2026年9月4日22時20分UTCに最初の確認されたStyleSmugglerの悪用を検出し、ゼロデイを9月5日に公表しました。Adobeは9月7日に公式のCVE、セキュリティ速報、VULN-39341のホットフィックスをリリースしました。
CVE-2026-75650がシステムに与える影響は何ですか？
成功した悪用はeコマースサーバーで任意のコード実行を提供します。実世界の攻撃者はすでにこの欠陥を使用して永続的なRustベースのLinuxバックドアを展開し、別のPHPウェブシェルを展開しています。アプリケーションプロセスの権限に応じて、攻撃者は資格情報、顧客または店舗データ、アプリケーションの秘密、支払い統合、接続されたインフラストラクチャにアクセスする可能性もあります。
CVE-2026-75650は2026年にもまだ影響を及ぼしますか？
はい。AdobeのVULN-39341ホットフィックスを受け取っていない影響を受けるAdobe CommerceまたはMagento Open Sourceシステムは依然として脆弱です。2026年8月のセキュリティリリースまでしかパッチを適用していない組織も、Adobeの9月7日の緊急更新までゼロデイが対処されていなかったため、依然として曝露される可能性があります。
CVE-2026-75650からどのようにして身を守ることができますか？
AdobeのVULN-39341ホットフィックスを直ちに適用し、Adobeの指示に従ってCommerceの暗号鍵を回転させてください。組織はまた、パッチ適用前に露出されていたシステムを調査し、公表されたStyleSmugglerの指標を検索し、Magentoログおよびメディアディレクトリで悪意のあるPHPを検査し、疑わしいプロセスやcronジョブを確認し、妥協が疑われる場合は資格情報を更新するべきです。
