Magento のゼロデイ脆弱性「StyleSmuggler」を狙う攻撃が判明

ECサイト向けセキュリティ企業の Sansec は、Adobe Commerce および Magento Open Source の全バージョン（2.4.4から2.4.9）に影響するゼロデイ脆弱性「StyleSmuggler」を悪用したサイバー攻撃を報告しました。本脆弱性は、認証なしで外部から任意のプログラムを実行されるというもので、2026年7月・8月の最新のセキュリティパッチを適用したサイトでも被害が発生しています。実際の攻撃については、米国時間2026年9月4日から確認されています。

手口としては、Magento のメールテンプレートに不正なプログラムをあらかじめ仕込んでおき、システムが決済失敗の通知メールを自動生成するタイミングで実行させるというものです。受信者がメールを開封しなくても、攻撃が成立します。侵入後には遠隔操作用のプログラムが設置されますが、時刻同期の通信に偽装して外部とやり取りを行うため、通常の通信監視では発見されにくいという特徴があります。

Adobe は米国時間9月7日、本脆弱性に対応する緊急の修正プログラム（VULN-39341）を公開しました。ただし、パッチを当ててもすでに侵入して設置された遠隔操作プログラムは消去されないとのことで、攻撃開始（米国時間9月4日）から修正プログラム公開（米国時間9月7日）までの3日間に、システムが侵害された痕跡がないか確認することが求められています。