ネット通販サイトの構築に広く使われる「Adobe Commerce（アドビ・コマース）」とその無償版「Magento（マジェント）」に、最悪級とされる深刻な脆弱性（ぜいじゃくせい＝システムの安全上の欠陥）が見つかりました。悪用されれば、攻撃者がサーバー上で自在にプログラムを実行できる恐れがあり、専門家は近く攻撃が本格化すると警告しています。
メール機能を悪用する欠陥
問題の欠陥は「CVE-2026-103849」と名付けられ、通称「ブロックストラップ」と呼ばれます。発見したのはECサイト専門のセキュリティ企業サンセックで、メールのひな型（テンプレート）を処理する仕組みの不備を突くものです。攻撃者が仕込んだ命令が、本来より強い権限で再処理されて実行されるため、認証を経ずにサーバーを乗っ取られる危険があります。
対象は幅広いバージョン
影響を受けるのは、Adobe CommerceとMagento Open Sourceの9月版から2.4.9まで、およびAdobe Commerce B2Bの1.5.3までの広い範囲です。アドビは10月13日に修正プログラム（APSB26-153）を公開しましたが、通常の更新作業だけでは不十分で、専用の修正を個別に適用する必要があります。サンセックは、9月に見つかった類似の欠陥への対策も併せて維持するよう呼びかけています。
攻撃は「時間の問題」
現時点で実際の攻撃は確認されていませんが、サンセックは24時間以内に4通りもの攻撃経路を特定しており、悪用は時間の問題だとみています。アドビが対応の緊急度を「30日以内」とやや低く設定したことに対し、同社は危険性に見合わないと指摘しました。過去にもマジェントの欠陥は大規模な通販サイト改ざんに悪用された経緯があり、警戒が必要です。
日本への影響
マジェントやAdobe Commerceは、日本国内でも中堅・大手のネット通販サイトや企業の越境EC（海外向け電子商取引）で数多く採用されています。これらのサイトが乗っ取られれば、商品の注文情報やクレジットカード番号などの顧客データが盗み取られ、決済ページに不正なコードを埋め込まれる「Webスキミング」の被害につながりかねません。年末商戦を控えたこの時期に販売サイトが停止すれば、事業者の売上に直接の打撃となります。サイトを運営する企業の担当者は、自社が対象バージョンを使っていないかを直ちに確認し、アドビが示した個別の修正を速やかに適用することが求められます。消費者としても、不審なサイトでのカード入力を避け、利用明細をこまめに確認する習慣が身を守る備えとなります。
まとめ：便利なネット通販の裏側では、見えない攻防が日々続いています。買う側も売る側も、一手間の確認が被害を防ぐ鍵になります。
出典：
https://www.bleepingcomputer.com/news/security/critical-blockstrap-flaw-lets-hackers-run-code-on-magento-servers/
https://helpx.adobe.com/security/products/magento/apsb26-153.html
Photo: Vitaly Gariev / Unsplash
