StyleSmuggler緊急対応：MagentoおよびAdobe Commerceのリモートコード実行脆弱性へのパッチ適用

【なぜ重要か】 「StyleSmuggler」と命名されたゼロデイ脆弱性が、現行のすべてのバージョンのMagento Open SourceおよびAdobe Commerceに対して、認証不要のリモートコード実行（RCE）を可能にする。2026年9月4日から実際の攻撃が観測されており、記事執筆時点でAdobeはCVEの割り当てもパッチのリリースも行っていない。Aikido Securityはすでに複数の対象バージョン向けに独自の修正パッチを提供している。

【ポイント】

• 攻撃の仕組み（2段階）：攻撃者はまずGraphQLリクエストのスタイルプロパティを通じてPHPペイロードをインジェクションし、Magentoが自動生成するファイル（例：チェックアウトエラー時の障害レポート）に書き込む。その後、Magentoが「支払い取引失敗リマインダー」メールをレンダリングする際にサーバーサイドでコードが実行される。メールが実際に配信される必要はなく、レンダリング処理が走るだけで攻撃が完結する。
• 影響範囲と深刻度：最新版の2.4.9を含む全バージョンが脆弱であり、2026年7月・8月のセキュリティパッチを適用済みの環境でも侵害が確認されている。悪用に成功した攻撃者は、顧客の個人情報・決済情報・管理者認証情報・DBの内容への不正アクセスや、Magecart型スキマーの埋め込みが可能になる。実際の侵害ではカーネルスレッドに偽装した永続的なRustバックドアのインストールが確認されており、再起動後も生き残る。
• Aikido Librariesの修正パッチ：バージョン2.3.1、2.4.7、2.4.8の各ブランチ向けにドロップイン置換型のパッチを提供済み。Magentoのテンプレートエンジンが処理する前にスタイルデータをサニタイズすることで、StyleSmugglerの侵入経路を遮断する。バージョンアップグレード不要で適用でき、正常なCSSへの影響はない。
• Adobeによる公式対応の不在：記事執筆時点でAdobeはアドバイザリ・CVE・パッチのいずれも未公開。次回の定期セキュリティリリースは9月8日だが、本脆弱性への対応が含まれるかどうかは不明。
• 暫定的な回避策の限界：Aikidoパッチを適用できない場合の暫定措置としてGraphQLの無効化があるが、ヘッドレス構成やPWAストアフロントは即時停止となる。また、これは現在確認されている攻撃パターンへの対処にすぎず、根本的な脆弱性は修正されない。

【まとめ】 認証不要・全バージョン対象のRCEゼロデイであり、すでに実攻撃が確認されている。Adobeの公式パッチを待つことなく、直ちにAikido Librariesの修正パッチを適用するか、少なくともGraphQLを一時的に無効化すること。侵害の痕跡が見つかった場合はMagento認証情報をただちにローテーションすること。