2026-03-20

MagentoのPolyShell脆弱性が認証なしのアップロード、RCE、アカウント乗っ取りを可能に

MagentoのREST APIにおける重大なセキュリティ脆弱性が発見されました。この脆弱性は、認証なしの攻撃者が任意の実行可能ファイルをアップロードし、リモートコード実行（RCE）やアカウント乗っ取りを引き起こす可能性があります。Sansecによると、この脆弱性はPolyShellと呼ばれ、悪意のあるコードが画像として偽装されることに依存しています。現在、この脆弱性が実際に悪用された証拠はありませんが、影響を受けるのはMagentoのすべてのオープンソースおよびAdobe Commerceのバージョンです。Adobeはこの問題を修正しましたが、現在の生産バージョンにはパッチが提供されていません。eコマースストアは、アップロードディレクトリへのアクセス制限や、ウェブアプリケーションファイアウォールの導入を推奨されています。

メトリクス

このニュースのスケール度合い

5.0 /10

インパクト

8.0 /10

予想外またはユニーク度

6.5 /10

脅威に備える準備が必要な期間が時間的にどれだけ近いか

7.5 /10

このニュースで行動が起きる／起こすべき度合い

8.0 /10

主なポイント

✓ MagentoのREST APIにおけるPolyShell脆弱性は、認証なしの攻撃者による任意ファイルのアップロードを可能にします。
✓ この脆弱性は、リモートコード実行やアカウント乗っ取りを引き起こす可能性があり、特にeコマースサイトに深刻な影響を与えます。

社会的影響

! この脆弱性の悪用により、多くのeコマースサイトが攻撃を受け、顧客データが危険にさらされる可能性があります。
! 特に、影響を受けるブランドが多いため、消費者の信頼が損なわれる恐れがあります。

編集長の意見

MagentoのPolyShell脆弱性は、eコマースプラットフォームにおけるセキュリティの重要性を再認識させる事例です。この脆弱性は、認証なしで任意のファイルをアップロードできるため、攻撃者がリモートコードを実行し、アカウントを乗っ取るリスクを高めます。特に、Magentoは多くの企業に利用されているため、影響範囲は広範囲に及ぶ可能性があります。Adobeがこの問題を修正したことは評価されますが、現在の生産環境にパッチが提供されていないことは大きな懸念材料です。企業は、アップロードディレクトリへのアクセス制限や、ウェブアプリケーションファイアウォールの導入を検討する必要があります。また、定期的なセキュリティスキャンを実施し、潜在的な脅威を早期に発見することが重要です。今後、Magentoのユーザーは、セキュリティのベストプラクティスを遵守し、最新の情報を常に把握することが求められます。特に、攻撃者が新たな手法を用いて脆弱性を悪用する可能性があるため、警戒を怠らないことが重要です。

背景情報

i MagentoのREST APIは、カートアイテムのカスタムオプションとしてファイルアップロードを受け入れます。この際、ファイルはサーバーの特定のディレクトリに書き込まれ、適切な設定がなければリモートコード実行が可能になります。
i Sansecは、Adobeがこの問題を修正したことを確認していますが、現在の生産環境ではパッチが提供されていないため、リスクが残っています。