Trusted Design

CVE-2026-75650 の詳細

CVEの情報

説明:
Adobe Commerce is affected by an Improper Neutralization of Special Elements Used in a Template Engine vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.

CVE更新日: 2026-09-07 21:17:30.863000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2026-09-08

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.039490000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-75650について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-75650は、Adobe CommerceおよびMagento Open Sourceに影響を与える、テンプレートエンジンにおける特殊要素の不適切な無害化（CWE-1336）の脆弱性です。この脆弱性は「StyleSmuggler」という通称で知られています。

1.1 影響

攻撃者は、認証やユーザーインタラクションなしに、影響を受けるシステムのコンテキストで任意のコードを実行する可能性があります。攻撃はネットワーク経由（HTTP/HTTPSを介してリモートから悪用可能）で行われます。 この脆弱性は実際に悪用が確認されているゼロデイ脆弱性です。

1.2 深刻度

CVSS v3.1基本スコアは10.0（Critical）であり、最も深刻度の高い脆弱性として評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

不明。脆弱性は特定のOSバージョンではなく、Adobe CommerceおよびMagento Open Source製品自体に存在します。

2.2 影響を受ける設定

  • 対象製品:
    • Adobe Commerce
    • Adobe Commerce B2B
    • Magento Open Source
  • 影響を受けるバージョン:
    • Adobe Commerce: 2.4.9-2026-aug以前
    • Adobe Commerce: 2.4.8-2026-aug以前
    • Adobe Commerce: 2.4.7-2026-aug以前
    • Adobe Commerce: 2.4.6-2026-aug以前
    • Adobe Commerce: 2.4.5-2026-aug以前
    • Adobe Commerce: 2.4.4-2026-aug以前

3. 影響を受けた時の兆候

この脆弱性は、攻撃者が任意のコードを実行することを可能にするため、様々な悪意のある活動が行われる可能性があります。具体的な兆候としては、システムの予期せぬ動作、不正なファイルの作成、データの改ざんや窃取、バックドアの設置などが考えられます。この脆弱性を用いた攻撃が確認されているため、影響を受ける製品を利用している場合は侵害状況の調査が推奨されます。

4. 推奨対策

4.1 本対策

  • Adobeが提供するHotfix (VULN-39341-composer-patches.zip) を速やかに適用してください。
  • 詳細は、Adobe Security Bulletin APSB26-146を参照してください。
  • CISAは、米行政機関に対して9月11日までに是正措置を講じるよう指示しており、脆弱性が実際に悪用されていることを鑑みると、迅速な対応が不可欠です。

4.2 暫定回避策（緩和策）

  • Hotfix適用後、Commerceの暗号化キー、管理者パスワード、API資格情報、データベース資格情報などのローテーションを実施することが推奨されています。
  • 本脆弱性に対する直接的な暫定回避策は明確に示されていませんが、CISAはベンダーの指示に従って緩和策を適用し、CISAの「Forensics Triage Requirements」に準拠するよう求めています。

他に解説すべき観点

  • CISA KEVカタログへの追加: 米国CISA（サイバーセキュリティ・インフラストラクチャ・セキュリティ庁）は、2026年9月8日にこの脆弱性（CVE-2026-75650）を「悪用が確認された脆弱性カタログ（KEV）」に追加しました。
  • 対応期限: CISAは、米行政機関に対し、この脆弱性への対応期限を2026年9月11日と指定しています。
  • ゼロデイ悪用: Sansecは、この脆弱性を「StyleSmuggler」と命名し、2026年9月4日から攻撃が確認されていると報告しています。
  • Adobeの優先度: Adobeはこの脆弱性に対し、Priority Rating 1を設定しており、管理者に72時間以内の適用を推奨しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る