Magento SessionReaper（CVE-2025-54236）：自分のストアは影響を受ける？どう直す？

どんな脆弱性か

• Adobe の公告 APSB25-88（2025 年 9 月 9 日）は、セキュリティ機能のバイパスにつながる Critical な入力検証の不備（CWE-20）を説明しています。CVSS 3.1 は 9.1、認証も管理者権限も不要です。
• Adobe のサポート記事によると、攻撃者は Commerce REST API を通じて顧客アカウントを乗っ取れる可能性があります。
• SessionReaper と名付けた Sansec は、構成によっては認証なしのリモートコード実行につながると報告しています。これは Sansec の見解で、Adobe の公告には含まれていません。
• 2025 年 10 月 22 日に Adobe は実際の悪用を把握していると追記し、10 月 24 日に優先度を 1 に引き上げました。

影響を受けるバージョン

直し方

• Adobe の composer パッチ適用手順に従い、単体のホットフィックス VULN-32437-2-4-X-patch（repo.magento.com から取得）を適用するか、その系列の新しいセキュリティリリースに更新します。
• magento/out-of-process-custom-attributes を入れている場合は Adobe の指示どおり更新し（composer require magento/out-of-process-custom-attributes=0.4.0 --with-dependencies）、その後ホットフィックスを適用します。
• クラウド版 Adobe Commerce には Adobe が WAF ルールを展開済みですが、ホットフィックスは引き続き必須です。
• 実際の悪用が報告されているため、適用後は顧客アカウントとサーバーに侵害の痕跡がないか確認してください。

ストアの確認方法

読み取り専用のコマンドです。バージョンを上の表と比べ、クラウド版ではパッチが Applied になっているか確認します。

# Which Magento / Adobe Commerce version is installed? (read-only)
bin/magento --version
composer show magento/product-community-edition magento/product-enterprise-edition 2>/dev/null | grep -E '^(name|versions)'

# Is the Custom Attributes Serializable module installed, and which version?
composer show magento/out-of-process-custom-attributes 2>/dev/null | grep versions

# Adobe Commerce on cloud / with Quality Patches Tool: patch status
vendor/bin/magento-patches -n status | grep -E '32437|Status'

土台の PHP について

Magento は PHP 上で動いており、PHP 自体にも 2026 年 10 月の PHP2Shell 脆弱性があります。Magento の製品ページと PHP バージョン別ページで PHP も別途確認してください。