CVEウォッチ

Adobe Commerceにおける保存型クロスサイトスクリプティングの脆弱性（CVE-2026-21290）について

March 11, 2026 ·

概要

CVE-2026-21290は、Adobe Commerceの特定のバージョンに存在する保存型クロスサイトスクリプティング（Stored XSS）の脆弱性です。この脆弱性が悪用されると、権限の低い攻撃者によって悪意のあるスクリプトが脆弱なフォームフィールドに注入される可能性があります。影響を受けるページを閲覧したユーザーのブラウザ上で、注入されたJavaScriptが実行される恐れがあります。この脆弱性の深刻度はCVSSスコア8.7（HIGH）と評価されています。

影響範囲

Adobe Commerceの以下のバージョンが影響を受けると報告されています。

  • 2.4.9-alpha3
  • 2.4.8-p3
  • 2.4.7-p8
  • 2.4.6-p13
  • 2.4.5-p15
  • 2.4.4-p16
  • およびそれ以前のバージョン

想定される影響

攻撃が成功した場合、セッションハイジャックが発生する可能性があります。これにより、ユーザーの機密情報が漏洩したり、ウェブサイトのコンテンツが改ざんされたりするなど、機密性および完全性への影響が高まる恐れがあります。

攻撃成立条件・悪用状況

攻撃成立条件

権限の低い攻撃者が、脆弱なフォームフィールドに悪意のあるスクリプトを注入する必要があります。その後、被害者がそのスクリプトが注入されたページを閲覧することで、攻撃が成立する可能性があります。つまり、ユーザーの操作（脆弱なフィールドを含むページへのアクセス）が必要です。

悪用状況

現時点での具体的な悪用状況については、この情報からは不明です。

推奨対策

今すぐできる対策（最優先）

  • パッチの適用: Adobe社から提供されるセキュリティパッチを速やかに適用してください。最新のセキュリティ情報に注意し、利用可能なパッチを適用することが最も効果的な対策です。

中長期的な対策

  • 入力値の検証とサニタイズ: ウェブアプリケーション開発においては、ユーザーからの入力値を厳格に検証し、出力時には適切にサニタイズする実装を徹底してください。
  • セキュリティ教育: 開発者に対して、XSSなどの一般的なウェブ脆弱性に関するセキュリティ教育を継続的に実施してください。
  • セキュリティ監視の強化: ウェブアプリケーションのログ監視を強化し、不審な活動やスクリプト注入の兆候がないか定期的に確認してください。

一時的な緩和策

現時点では、この脆弱性に対する具体的な一時的な緩和策は報告されていません。根本的な解決策として、パッチの適用が強く推奨されます。

確認方法

  • ご使用のAdobe Commerceのバージョンが、影響を受けるバージョンリストに含まれていないか確認してください。
  • Adobe社の公式セキュリティアドバイザリやリリースノートを参照し、パッチの適用状況を確認してください。

参考情報