概要
Adobe Commerceの複数のバージョンにおいて、パス・トラバーサル（Path Traversal）の脆弱性（CWE-22）が報告されました。この脆弱性は、攻撃者が意図された制限されたパス外のファイルやディレクトリにアクセスできる可能性があり、セキュリティ機能のバイパスにつながる恐れがあります。CVSSスコアは6.8（MEDIUM）と評価されていますが、企業への影響は無視できません。
影響範囲
以下のAdobe Commerceのバージョンが影響を受けると報告されています。
- Adobe Commerce 2.4.9-alpha3
- Adobe Commerce 2.4.8-p3
- Adobe Commerce 2.4.7-p8
- Adobe Commerce 2.4.6-p13
- Adobe Commerce 2.4.5-p15
- Adobe Commerce 2.4.4-p16
- およびそれ以前のバージョン
想定される影響
高権限を持つ攻撃者によって、システム上の意図しないファイルやディレクトリへの不正アクセスを許す可能性があります。これにより、機密情報の漏洩や、システムの改ざん、さらにはセキュリティ機能のバイパスにつながる恐れがあります。この脆弱性の悪用にはユーザーとのインタラクションは不要と報告されています。
攻撃成立条件・悪用状況
この脆弱性を悪用するには、攻撃者が高い権限を持っている必要があります。ユーザーの操作は不要とされています。現時点での具体的な悪用状況については、この情報からは確認できません。
推奨対策
今すぐできる対策（優先度：高）
- パッチの適用: Adobe社から提供される最新のセキュリティパッチを速やかに適用してください。具体的なパッチ情報については、Adobe社の公式発表を確認することが最も重要です。
中長期的な対策
- システム監視の強化: 不正なファイルアクセスや異常な挙動を検知できるよう、システムログの監視体制を強化してください。
- 最小権限の原則: システムの運用において、各ユーザーやプロセスに必要最小限の権限のみを付与する「最小権限の原則」を徹底してください。
- 定期的なセキュリティ監査: 定期的にセキュリティ監査を実施し、潜在的な脆弱性や設定ミスがないか確認してください。
一時的な緩和策
この脆弱性に対する具体的な一時的な緩和策は、現時点では明確に報告されていません。パッチの適用が最も効果的な対策となります。可能であれば、Adobe Commerceが動作するサーバーへのアクセスを厳格に制限し、信頼できるIPアドレスからのみアクセスを許可するなどのネットワークレベルでの対策を検討してください。
確認方法
現在利用しているAdobe Commerceのバージョンが、影響を受けるバージョンに含まれていないかを確認してください。Adobe社の公式セキュリティアドバイザリやリリースノートを参照し、本脆弱性に関する詳細情報やパッチの提供状況を確認してください。
参考情報
- CVE-2026-21360 詳細: https://cvefeed.io/vuln/detail/CVE-2026-21360
- Adobe社公式セキュリティ情報（該当する情報が公開され次第、確認してください）