当社は、CVE-2026-75650（StyleSmuggler）として追跡されている、認証を必要としない重大なリモートコード実行（RCE）脆弱性を継続的に監視してきました。 Akamai Security Intelligence Groupは、この脆弱性に対する実際の悪用試行を確認しています。
この脆弱性のCVSSスコアは最大の10.0で、悪用に認証やユーザーによる操作は必要ありません。
攻撃者は、HTTPヘッダーやパラメーターを介して悪性PHPコードをMagentoのテンプレート処理チェーンに紛れ込ませ、その後、自動メールのレンダリング処理中にコードを実行します。
Akamaiの調査によると、Akamai Adaptive Security Engine（ASE）のCMD Injection保護機能は、GraphQLのヘッダーおよびパラメーターを介した主要な攻撃ベクトルを標準機能としてすでにブロックしているため、新たなルールを導入する必要はありません。
当社では引き続き、この脆弱性について確認されているすべての攻撃ベクトルに対する検知範囲の検証を進めています。
影響を受けるお客様には、Adobeの公式ホットフィックス（APSB26-146/VULN-39341）をできるだけ早く適用することを推奨します。
CVE-2026-75650は、Adobe Commerce、Adobe Commerce B2B、およびMagento Open Sourceに影響を及ぼす、重大なリモートコード実行（RCE）脆弱性です。この脆弱性を悪用すると、認証されていない攻撃者がプラットフォームのテンプレートエンジンにPHPコードを挿入し、その後、サーバー上で実行できます。
この脆弱性は2026年9月初旬から実環境で活発に悪用されており、これを受けてAdobeは定例外の緊急セキュリティアップデートをリリースしました。
StyleSmuggler攻撃は、次の4つのステップで進行します。
攻撃者は、HTTPヘッダーまたはパラメーターに悪性PHPコードを隠したリクエストを、MagentoのGraphQLエンドポイントに送信します。
Magentoは認識されない値をログに記録し、その過程で攻撃者のPHPコードが意図せずサーバー側のログファイルに保存されます。
続いて送信されたリクエストによってMagentoのテンプレートエンジンが起動します。通常は、標準的なトランザクションメールの生成などがこれに該当します。
レンダリング処理中にテンプレートエンジンが悪性コードを含むログファイルを読み込み、そこに埋め込まれたPHPコードを実行します。これにより、攻撃者によるリモートコード実行（RCE）が可能になります。
悪用に認証もユーザーによる操作も必要ないため、インターネットに公開され、パッチが適用されていないインスタンスは攻撃を受ける可能性があります。
この脆弱性は、Adobe CommerceおよびMagento Open Sourceのバージョン2.4.4～2.4.9、ならびにAdobe Commerce B2Bのバージョン1.3.3～1.5.3に存在します。この脆弱性を修正するには、AdobeがAPSB26-146（ホットフィックスVULN-39341）で提供しているセキュリティアップデートを適用してください。
Akamaiの調査によると、Akamai App & API ProtectorのAdaptive Security Engine（ASE）によるCMD Injection保護機能は、新たなルールを追加することなく、GraphQLのヘッダーおよびパラメーターを介した主要な攻撃ベクトルを標準機能としてブロックしています。既存のASEルールは、当社が分析したStyleSmugglerの実際の悪用試行で使用されたPHPおよびコマンドインジェクションのパターンをすでに検知し、ブロックしています。本稿執筆時点では、一般公開された完全な攻撃用PoCは確認されていません。
当社では引き続き、この脆弱性について確認されている攻撃ベクトルに加え、今後出現する新たな攻撃ベクトルについても、検知範囲の検証を進めていきます。AkamaiのWebアプリケーションファイアウォール（WAF）による防御機能は、既知の悪用パターンを検知してブロックできますが、最も効果的な防御策は、引き続きベンダーが提供するパッチを速やかに適用することです。この脆弱性の深刻度を踏まえ、できるだけ早くアップデートを適用してください。
© 2026 Akamai Technologies
