Adobe Commerce と Magento の入力検証不備（CVE-2025-54236）― 攻撃者が奪うのは事業者でなく顧客のアカウント

1被害が及ぶ先が組織の外にある

KEVに載る脆弱性の多くは、サーバやネットワーク機器が侵害され、その組織の内部が危険にさらされるという筋書きを持つ。この記録は向きが違う。奪われるのは、そのサイトを運営する事業者のアカウントではなく、買い物をしている顧客のアカウントである。名前、住所、注文の履歴、登録された支払い手段。乗っ取りが成立すれば、そこに触れられるのは事業者ではなく攻撃者になる。直す責任は事業者にあり、被害を受けるのは顧客だという非対称がここにある。

2REST APIという入口

カタログが名指ししているのは、通常の購入画面ではなく Commerce の REST API である。APIは、アプリや外部システムがサイトの機能を呼び出すための入口で、人が使う画面とは別に用意されている。画面側でどれだけ入力を確認していても、API側の確認が緩ければそこが通り道になる。

入力検証の不備という分類は、送られてきた値を十分に確かめないまま処理してしまうことを指し、この記録ではそれがアカウントの乗っ取りにつながるとされている。

3オープンソース版が同じ記録に含まれる

対象には、商用の Adobe Commerce だけでなく Magento Open Source も含まれている。オープンソース版は自前で構築・運用されることが多く、更新の判断も運用者に委ねられる。ベンダーが一斉に配信できる仕組みがない分、同じ脆弱性でも修正の行き渡り方が変わる。

是正期限は追加から21日後で、2026年8月28日時点で当サイトが保持する1,685件では21日が1,025件と全体の61%を占める最も標準的な設定にあたる。なお、実際にどの程度の乗っ取りが観測されたのかは、このカタログの記録には含まれていない。

4是正期限は一律ではない

KEVの記録には、いつまでに直すべきかの期限が付きます。この日数は項目ごとに違い、扱いの重さを示す情報になります。

2026年9月1日時点で当サイトが保持する1,687件の内訳です。21日が最も多く、これが標準的な設定にあたります。一方で3日という短い期限が86件ある一方、181日という長い期限も238件あります。本件の21日は標準の側です。

対象には商用のAdobe Commerceだけでなくオープンソース版のMagentoも含まれ、後者は自前で構築・運用されることが多いため、同じ脆弱性でも修正の行き渡り方が変わります。