はじめに
2025年8月現在、AdobeはAdobe CommerceおよびMagento Open Source向けに複数のセキュリティアップデートを公開しています。なかでも最近注目すべきは、APSB 25‑71 セキュリティ速報と、それに続く 2.4.8‑p2, 2.4.7‑p7, 2.4.6‑p12, 2.4.5‑p14, 2.4.4‑p15 といったセキュリティパッチ付きリリースです。本記事では、その概要と重要ポイントを詳しく解説します。
APSB25‑71：最新セキュリティ速報
Adobeは「APSB 25‑71」というセキュリティ速報を公開し、Adobe CommerceおよびMagento Open Source向けにCritical（重大）およびImportant（重要）な脆弱性への対応を発表しました。本速報の主なポイントは以下の通りです：
- 影響範囲と対応内容
セキュリティ機能のバイパス、権限昇格、不正なファイルシステムの読み取り、アプリケーションのサービス拒否（DoS）といった複数の重大脆弱性に対応しています。 - 現状のリスク評価
現在のところ、これらの脆弱性が悪用された事例（いわゆる“in the wild”）は確認されていません。 - 推奨対応
詳細なバージョンやCVEsは本速報には記載されていないため、Adobeのナレッジベースやリリースノートなどで、必要な補足情報を確認しながらアップデートを適用することが重要です。
パッチ付きリリース：2.4.8‑p2 ～ 2.4.4‑p15 リリース
続いて、このセキュリティ速報に関連して、複数のパッチ付きリリースが公開されています。Principleworks のブログで紹介されたリリースは以下のとおりです：
- Adobe Commerce / Magento Open Source
- 2.4.8‑p2
- 2.4.7‑p7
- 2.4.6‑p12
- 2.4.5‑p14
- 2.4.4‑p15
これらのリリースには、APSB 25‑71で指摘された脆弱性に対応するパッチが含まれていると考えられます。ただし、Principleworksの記事では具体的なセキュリティ修正内容や詳細なCVEsなどは記載されていないため、Adobe公式のセキュリティ速報やリリースノートも併せて確認する必要があります。
過去のAPS速報と適用状況との照合
-
APSB 25‑50（2025年6月10日 公開）
対象バージョン：2.4.8、2.4.7‑p5以前、2.4.6‑p10以前、2.4.5‑p12以前、2.4.4‑p13以前
脆弱性タイプ：重大・重要・中程度（権限昇格、セキュリティ機能のバイパス、任意コード実行など）
アップグレード先推奨バージョン：2.4.8-p1（2.4.8の場合）、2.4.7‑p6（2.4.7‑p5以前）、2.4.6‑p11（2.4.6‑p10以前）、2.4.5‑p13（2.4.5‑p12以前）、2.4.4‑p14（2.4.4‑p13以前） -
APSB 25‑26（2025年4月8日 公開）
脆弱性タイプ：セキュリティ機能のバイパス、権限昇格、DoSなど
アップグレード推奨：2.4.8（2.4.8-beta2から）、2.4.7‑p5（2.4.7-p4以前）、2.4.6‑p10（2.4.6-p9以前）、2.4.5‑p12（2.4.5-p11以前）、2.4.4‑p13（2.4.4-p12以前）
修正された具体的なCVEも詳細に記載されています（例：CVE‑2025‑27188〜CVE‑2025‑27192） -
APSB 25‑08（2025年2月11日 公開）
対象バージョン：2.4.8-beta1、2.4.7‑p3以前、2.4.6‑p8以前、2.4.5‑p10以前、2.4.4‑p11以前
対応：それぞれ2.4.8-beta2、2.4.7‑p4、2.4.6‑p9、2.4.5‑p11、2.4.4‑p12へのアップグレードと、CVE‑2025‑24434の個別パッチあり
これらの前回パッチと今回の APSB 25‑71 およびパッチ付きリリース（2.4.8‑p2～2.4.4‑p15）を組み合わせて考えると、Adobeは順次脆弱性に対応し、各バージョンに応じたパッチ提供を続けています。
各リリースの特徴および適用のポイント
APSB 25‑71（最新速報）
- 意義
未知の重大・重要な脆弱性への対応。すぐの適用が望まれる。 - 注意点
具体的な脆弱性内容が公開されていないため、詳細な情報収集を並行して行う必要あり。
パッチ付きリリース（2.4.8‑p2等）
- 意義
APSB 25‑71の対応を含む、各バージョン向けの最新版リリース。 - 適用方法
それぞれのバージョンを利用している場合はパッチを適用、もしくは最新版へのアップグレードを検討。
過去のセキュリティ速報（APSB 25‑50 / 25‑26 / 25‑08）
- 追跡
各パッチで対応したCVEや改善点が明示されており、具体的な適用手順・優先度が示されている。 - 適用目安
重大性に応じて速やかな対応が求められる。
運用へのアドバイス
- バージョン確認
自社のMagento環境が現在どのバージョンに該当するか（例：2.4.5-p11以前など）、まず確認してください。 - 対応バージョンへの移行
適宜、以下のようにアップデートまたはパッチ適用を実施してください：- 2.4.8ユーザー→2.4.8‑p2
- 2.4.7-p6以前→2.4.7‑p7
- 2.4.6‑p11以前→2.4.6‑p12
- その他古いバージョンも同様に。
- 補足資料の確認
APSB 25‑71の詳細（CVE番号・修正内容）やパッチ適用手順はAdobe公式ナレッジベースで確認を。 - 運用体制の整備
セキュリティ速報やリリース情報の定期的なチェックを習慣化し、即時対応できる体制構築をおすすめします。
おわりに
- APSB 25‑71 は最新のセキュリティ速報として、重大・重要な脆弱性への対応を示す重要なニュースです。
- 2.4.8‑p2 などのパッチ付きリリース は、対応の具体的手段として有効です。
- 過去の APSB 速報も含めて、継続的なセキュリティ対応とバージョン管理が不可欠です。
必要であれば、特定バージョンに含まれる修正やパッチ適用手順など、さらに詳しくご案内も可能です。お気軽にご相談ください。