プラットフォーム
adobe
コンポーネント
adobe-commerce
修正版
2.4.5-p15
2.4.6-p13
2.4.7-p8
2.4.8-p3
2.4.9-alpha3
CVE-2026-21291は、Adobe Commerceに存在する保存型クロスサイトスクリプティング（XSS）脆弱性です。この脆弱性は、攻撃者が悪意のあるスクリプトをウェブサイトに埋め込み、ユーザーがそのページを閲覧した際にスクリプトが実行されることを可能にします。影響を受けるバージョンはAdobe Commerce 2.4.9以前、特に0–2.4.4-p16です。2026年3月11日に公開され、バージョンアップによる修正が推奨されています。
このXSS脆弱性を悪用されると、攻撃者はユーザーのブラウザ上で任意のJavaScriptコードを実行できます。これにより、Cookieの窃取、セッションハイジャック、悪意のあるウェブサイトへのリダイレクト、またはウェブサイトの改ざんが可能になります。特に、高権限を持つユーザー（管理者など）が影響を受ける場合、システム全体への深刻な損害につながる可能性があります。攻撃者は、脆弱なフォームフィールドに悪意のあるスクリプトを注入し、ユーザーがそのフォームを送信または表示した際にスクリプトが実行されるように仕向けます。この脆弱性は、Log4Shellのようなサプライチェーン攻撃と同様に、広範囲に影響を及ぼす可能性があります。
この脆弱性は、2026年3月11日に公開されており、現時点では公的に利用可能なPoC（Proof of Concept）は確認されていません。CISA KEVカタログへの登録状況は不明です。しかし、XSS脆弱性は一般的に悪用されやすく、今後、攻撃者による悪用が確認される可能性があります。攻撃者は、脆弱なAdobe Commerceインスタンスをスキャンし、自動的にXSSペイロードを注入するツールを使用する可能性があります。
Organizations using Adobe Commerce versions 0–2.4.4-p16, particularly those with high-traffic storefronts or sensitive customer data, are at risk. Shared hosting environments where multiple tenants share the same Adobe Commerce instance are also at increased risk, as a compromise on one tenant's account could potentially affect others.
• magento / web:
grep -r "<script" /var/www/html/app/code/Magento/...• magento / web:
curl -I https://your-magento-site.com/form-page | grep Content-Security-Policy• wordpress / composer / npm: Review plugin code for improper output encoding of user-supplied data in form fields. • generic web: Monitor access logs for unusual requests targeting form submission endpoints.
disclosure
エクスプロイト状況
EPSS
0.07% (22% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、まずAdobe Commerceを最新バージョン（2.4.9以降）にアップグレードすることを強く推奨します。アップグレードが困難な場合は、WAF（Web Application Firewall）を導入し、XSS攻撃を検知・防御するルールを設定してください。また、入力検証を強化し、フォームフィールドへの入力値を適切にサニタイズすることで、攻撃のリスクを軽減できます。さらに、セキュリティパッチの適用状況を定期的に監視し、最新のセキュリティ情報を収集することが重要です。アップグレード後、XSS攻撃に対する防御機能が正常に動作していることを確認してください。
Adobe Commerce を最新バージョンにアップデートしてください。Adobe が提供するセキュリティパッチを適用して、保存型 XSS 脆弱性を軽減してください。詳細なアップデートおよびパッチ適用手順については、Adobe のセキュリティアドバイザリを参照してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-21291は、Adobe Commerce 2.4.9以前のバージョンに存在する保存型クロスサイトスクリプティング（XSS）脆弱性です。攻撃者は悪意のあるスクリプトを注入し、ユーザーがページを閲覧した際に実行させることができます。
はい、Adobe Commerceのバージョン0–2.4.4-p16を使用している場合は影響を受けます。この脆弱性を悪用されると、Cookieの窃取やウェブサイトの改ざんなどの被害を受ける可能性があります。
Adobe Commerceをバージョン2.4.9以降にアップグレードすることを強く推奨します。アップグレードが困難な場合は、WAFを導入するなど、緩和策を検討してください。
現時点では公的な悪用事例は確認されていませんが、XSS脆弱性は一般的に悪用されやすい脆弱性であるため、今後悪用される可能性があります。
Adobe Security Bulletinを参照してください。詳細はAdobeの公式ウェブサイトで確認してください。