CVEウォッチ

Adobe Commerceにおける保存型クロスサイトスクリプティングの脆弱性 (CVE-2026-21361)

March 11, 2026 ·

概要

Adobe Commerceの複数のバージョンにおいて、保存型クロスサイトスクリプティング（Stored XSS）の脆弱性（CVE-2026-21361）が報告されました。この脆弱性は、高い権限を持つ攻撃者が悪用することで、脆弱なフォームフィールドに悪意のあるスクリプトを注入できる可能性があります。結果として、被害者が当該ページを閲覧した際に、そのブラウザ上で不正なJavaScriptが実行される恐れがあります。

影響範囲

以下のAdobe Commerceのバージョンが本脆弱性の影響を受けると報告されています。

  • Adobe Commerce 2.4.9-alpha3 およびそれ以前のバージョン
  • Adobe Commerce 2.4.8-p3 およびそれ以前のバージョン
  • Adobe Commerce 2.4.7-p8 およびそれ以前のバージョン
  • Adobe Commerce 2.4.6-p13 およびそれ以前のバージョン
  • Adobe Commerce 2.4.5-p15 およびそれ以前のバージョン
  • Adobe Commerce 2.4.4-p16 およびそれ以前のバージョン

※「およびそれ以前のバージョン」と記載されている場合、リストにないさらに古いバージョンも影響を受ける可能性があります。

想定される影響

本脆弱性が悪用された場合、以下のような影響が想定されます。

  • セッションハイジャック: 攻撃者が被害者のセッション情報を奪取し、正規ユーザーとしてシステムにアクセスする可能性があります。これにより、機密情報の漏洩やデータの改ざんなど、機密性および完全性に高い影響を及ぼす恐れがあります。
  • 不正な操作の実行: 被害者の権限で、意図しない操作（例: 設定変更、データ削除など）が実行される可能性があります。

攻撃成立条件・悪用状況

本脆弱性の悪用には、以下の条件が必要とされています。

  • 高い権限を持つ攻撃者: 攻撃者は、脆弱なフォームフィールドにスクリプトを注入するために、Adobe Commerceシステム内で高い権限を持っている必要があります。
  • ユーザーインタラクション: 攻撃が成功するためには、被害者が悪意のあるスクリプトが注入されたページを閲覧する必要があります。

現時点では、本脆弱性の具体的な悪用状況に関する情報は報告されていません。

推奨対策

今すぐできる対策（優先度：高）

  • ベンダーからのパッチ適用: Adobe社から提供される修正パッチがリリースされ次第、速やかに適用することを強く推奨します。システムの安定性を確認した上で、計画的にアップデートを実施してください。

中長期的な対策

  • 最小権限の原則の徹底: Adobe Commerceの管理ユーザーやその他のアカウントに対し、業務上必要最小限の権限のみを付与するよう見直してください。
  • 入力値の検証強化: ユーザーからの入力値が適切に検証・サニタイズされているか、開発・運用プロセスにおいて確認・強化を検討してください。
  • Webアプリケーションファイアウォール（WAF）の導入・設定見直し: WAFを導入している場合は、XSS攻撃を検知・ブロックするためのルールが適切に設定されているか確認し、必要に応じて強化してください。
  • セキュリティ監視の強化: Adobe Commerceのアクセスログやエラーログを定期的に監視し、不審な挙動がないか確認してください。

一時的な緩和策

修正パッチの適用が困難な場合、以下の緩和策を検討してください。

  • 管理画面へのアクセス制限: Adobe Commerceの管理画面へのアクセスを、特定のIPアドレスからのみに制限するなど、ネットワークレベルでのアクセス制御を強化してください。
  • 不審なコンテンツの監視と削除: 管理画面内のフォームフィールドやコンテンツに、不審なスクリプトが埋め込まれていないか定期的に確認し、発見した場合は速やかに削除してください。

確認方法

ご自身のAdobe Commerce環境が本脆弱性の影響を受けるバージョンであるかを確認するには、現在稼働しているAdobe Commerceのバージョン情報を確認してください。通常、管理画面やシステムファイル内でバージョン情報が確認できます。

参考情報