この記事の要点（経営者向け）
本記事の情報は、2026年10月26日朝（日本時間）時点のものです。悪用の状況は短期間で変わることがあります。最新の状況は、末尾の出典に挙げた各社・各機関の発表をご確認ください。
何が起きたか
Adobeは10月13日、セキュリティ情報APSB26-153でAdobe Commerce、Adobe Commerce B2B、Magento Open Sourceの脆弱性を修正しました。最も深刻なCVE-2026-103849は、ログインなしで任意のコードを実行されるおそれがあるもので、CVSSは10.0です。[1][2]
悪用の状況
Adobeは悪用を把握していないとしています。ECセキュリティ企業のSansecも実際の店舗への攻撃は確認していませんが、修正から24時間以内に4通りの攻撃経路を再現しました。CISAの悪用確認済み脆弱性（KEV）カタログにはまだ載っていません。[1][3][4]
なぜ急ぐのか
同じメールテンプレートの仕組みの脆弱性StyleSmugglerは、9月上旬から実際に悪用されました。Sansecは今回も同程度の複雑さだとして、Adobeの「30日以内」の目安を待たずに今すぐ適用するよう勧めています。[5][3]
今週やること
自社や委託先が運営するECサイトにMagento・Adobe Commerceが使われていないかを確認し、使っていれば10月の修正と9月の修正（VULN-39341）の両方が入っていることを、コードで確かめてもらってください。[3]
BlockStrapとはどんな脆弱性か
Adobeによると、CVE-2026-103849はテンプレートエンジンで特殊な要素が適切に無害化されない問題（CWE-1336）です。悪用に認証も利用者の操作も不要で、影響範囲が脆弱な部品の外に及ぶ（Scope: Changed）とされ、CVSS v3.1の基本値は最高の10.0です。[1][2]
Sansecは、ECサイトが送る注文確認などのメールを組み立てる仕組みに、攻撃者が送り込んだ命令が紛れ込み、最終的にサーバー上でPHPのコードとして実行される、と説明しています。9月に悪用されたStyleSmugglerと同じ仕組みでの「2度目の重大な欠陥」で、9月の修正では塞ぎきれなかった隙間を突くものです。[3]
図 1
公表された攻撃の流れ（概要）
攻撃者が入力したデータがメールテンプレートに入り込み、本来信頼された命令として扱われ、メールの組み立て時にサーバー上でコードが実行されます。
攻撃者がストアにデータを送る
ログイン不要
データがメールテンプレートに紛れ込む
信頼された命令として再処理される
サーバー上でPHPコードが実行される
影響を受ける版と修正版
図 2
製品ごとの影響と修正
Adobe Commerce、Adobe Commerce B2B、Magento Open Sourceの2026年9月版（2026-sep）以前が影響を受け、2026年10月版（2026-oct）で修正されました。Mage-OSは3.5.0まで影響を受け、3.6.0で修正されています。
| 影響を受ける版 | 修正版 | 注意点 | |
|---|---|---|---|
| Adobe Commerce | 2.4.4〜2.4.9の2026-sep以前 | 各系列の2026-oct、または2.4.10-alpha1 | 9月の修正（VULN-39341）も別途必要 |
| Adobe Commerce B2B | 1.3.3〜1.5.3の2026-sep以前 | 各系列の2026-oct、または1.5.4-alpha1 | 本体のAdobe Commerceとあわせて確認 |
| Magento Open Source 2.4.7〜2.4.9 | 2026-sep以前 | 2.4.7-p10、2.4.8-p5、2.4.9向けの公開パッチ | Composerで入れ直すだけでは直らない |
| Magento Open Source 2.4.6以前 | 影響あり | 公開パッチなし | 2.4.7-p10以降への更新を検討 |
| Mage-OS | 3.5.0まで | 3.6.0（10月14日公開） | メタパッケージごと更新 |
経緯
図 3
StyleSmugglerからBlockStrapまで
9月上旬にStyleSmugglerが悪用され、9月7日に修正、9月8日にCISAのKEVに追加されました。10月13日にBlockStrapの修正が公開され、14日にSansecが4通りの攻撃経路を再現、19日にベルギーのCCBが警告を出しました。
- Adobe・開発元
- 研究者・攻撃の観測
- 公的機関
2026年9月上旬・研究者・攻撃の観測
StyleSmuggler（CVE-2026-75650）の悪用が始まる
2026年9月7日・Adobe・開発元
AdobeがStyleSmugglerの緊急修正を公開
APSB26-146、VULN-39341
2026年9月8日・公的機関
CISAがStyleSmugglerをKEVに追加
2026年10月13日・Adobe・開発元
AdobeがAPSB26-153でBlockStrapを修正
CVSS 10.0、優先度2
2026年10月14日・研究者・攻撃の観測
Sansecが4通りの攻撃経路を再現
2026年10月14日・Adobe・開発元
Mage-OS 3.6.0が修正を取り込む
2026年10月15日・研究者・攻撃の観測
Sansecが分析を公開
実際の店舗への攻撃は未確認
2026年10月19日・公的機関
ベルギーCCBが「すぐにパッチを」と警告
日本のEC事業者にとっての意味
CCBは、悪用された場合に顧客情報や決済情報への不正アクセス、ストアの内容の改ざん、サービスの停止につながりうるとしています。[6]日本では、クレジットカード・セキュリティガイドライン6.0版で、不正利用被害額の9割を占めるEC加盟店を対象に、システムとWebサイトの「脆弱性対策」の実施が求められています。このガイドラインは、割賦販売法のセキュリティ対策義務の「実務上の指針」と位置づけられています。[7]
また、JPCERT/CCは10月23日に更新した注意喚起で、AIを使ったペネトレーションテスト基盤を悪用し、主にインターネットに公開されたWebアプリケーションの脆弱性を探す攻撃試行を「ケースE」として追加しました。公開されたECサイトは、こうした機械的な探索の対象になりやすいと考えてください。[8]
確認の流れ
図 4
このストアは危ないか：確認の流れ
Magento系の基盤を使っているか、10月の修正がコードに入っているか、9月の修正も入っているかの3つを順に確かめます。
Adobe Commerce、Magento Open Source、Mage-OSを使っていますか
委託先の管理するストアや検証用ストアも含めます
いいえ
この脆弱性の影響はありません。使っている基盤の最新の修正が入っているかは別途確認してください。
はい
10月の修正（2026-oct、Mage-OS 3.6.0）がコードに入っていますか
デプロイの結果ではなく、ファイルの中身で確認します
いいえ
危険な状態です。今日中の適用を委託先と調整してください。2.4.6以前のMagento Open Sourceなら、更新の計画が必要です。
はい
9月の修正（VULN-39341）も入っていますか
いいえ
StyleSmugglerは実際に悪用された脆弱性です。先に9月の修正を入れ、そのうえで10月の修正を当て直します。
はい
両方の修正が入っています
ログと不審なファイルの確認に進みます
Sansecは、技術担当者向けに次の確認方法を示しています。Magentoのルートで grep -c resolveDeferredDirectives vendor/magento/framework/Filter/Template.php を実行し、0なら10月の修正が入っていません（Mage-OSでは vendor/mage-os/framework/Filter/Template.php）。9月の修正は vendor/bin/magento-patches -n status で確認できます。委託先にこの2点の結果を送ってもらうのが確実です。[3]
- 基盤を確かめる：自社と委託先が運営するECサイト、キャンペーンサイト、検証用ストアのうち、Adobe Commerce、Magento Open Source、Mage-OSを使っているものを一覧にします。[1][3]
- 10月の修正をコードで確かめる：上のコマンドの結果を委託先から受け取ります。Adobeの優先度2（30日以内）を待たず、今週中に終えるのが目安です。[3][6]
- 9月の修正も確かめる：StyleSmuggler向けのVULN-39341が入っているかを確認します。こちらはCISAのKEVに載っている、悪用が確認された脆弱性です。[3][4]
- 古い版の扱いを決める：Magento Open Source 2.4.6以前には公開パッチがありません。2.4.7-p10以降への更新の時期と、それまでの守り方を委託先と決めます。[3]
- 監視を強める：CCBは、不審な動きを見つけられるよう監視と検知を強めることを勧め、更新しても過去の侵害は消えないと注意しています。[6]
よくある質問
印刷用チェックリスト
- 自社と委託先のECサイトで使っている基盤を一覧にした
- キャンペーンサイトや検証用ストアも一覧に含めた
- Magento系のストアに10月の修正（2026-oct）が入っていることをコードで確認した
- 9月の修正（VULN-39341）も入っていることを確認した
- Magento Open Source 2.4.6以前の更新計画を委託先と決めた
- ストアの監視と、不審な動きに気づいたときの連絡先を決めた
ZeroKaiでできること
確認の第一歩は、自社のどのホストが外から見えているかを知ることです。ZeroKaiは、ドメインを入力するだけで、証明書の透明性ログに記録されたホスト名を一覧にし、管理画面や検証環境に見える名前を目立たせます。shop、store、stagingのような名前のホストを洗い出し、委託先に「これは何の基盤で動いていますか」と確認するための一覧として使えます。
出典
本文中の［番号］は、以下の出典に対応しています。 リンク先は2026年10月13日に確認しました。
- [1]Adobe「Security update available for Adobe Commerce | APSB26-153（英語）」、2026年10月13日
- [2]CVE Program「CVE-2026-103849（英語）」、2026年10月13日
- [3]Sansec「BlockStrap: Magento and Adobe Commerce RCE (CVE-2026-103849)（英語）」、2026年10月15日
- [4]米CISA「Known Exploited Vulnerabilities Catalog（カタログ版 2026.10.23、英語）」、2026年10月23日
- [5]Akamai「CVE-2026-75650: StyleSmuggler — Critical RCE in Adobe Commerce and Magento（英語）」、2026年9月14日
- [6]ベルギー サイバーセキュリティセンター（CCB）「WARNING: Template Injection Vulnerability in Adobe Commerce and Magento Open Source Can Be Exploited to Execute Arbitrary Code, Patch Immediately!（英語）」、2026年10月19日
- [7]公益社団法人日本通信販売協会（JADMA）「「クレジットカード・セキュリティガイドライン【6.1版】」を公表（クレジット取引セキュリティ対策協議会）」、2026年3月12日
- [8]JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT-AT-2026-0030、10月23日更新）」、2026年10月23日
この記事の用語と関連する質問
関連記事
委託先に確認する前に、外から見えているホストを一覧にしませんか
ドメインを入力してアカウントを作成すると、無料のパッシブ評価をすぐに始められます。1つの所有権確認済みドメインまで無料で、対象のサーバーには接触しません。
ニュースレター
日本企業に関係するサイバーセキュリティニュースを、わかりやすく。週2回（月・水）お届けします。