Magento 2向けMirasvit Full Page Cache Warmer 1.11.12未満には、CacheWarmer cookieへ与えたPHPシリアル化オブジェクトを安全でないunserialize()で処理するCVE-2026-45247があります。Magentoや依存関係のガジェットチェーンと組み合わせ、未認証で任意コードを実行できる可能性があります。
脆弱性の概要と影響範囲
CVE-2026-45247は、Mirasvit Full Page Cache Warmer for Magento 2のバージョン1.11.12より前のバージョンに影響を与える、深刻なPHPオブジェクトインジェクションの脆弱性です。この問題は、CacheWarmerクッキーを通じて特別に細工されたシリアライズされたPHPオブジェクトが、PHPの`unserialize()`関数によって安全でない方法で処理されることに起因します。
攻撃者は、Magentoとその依存関係に存在するガジェットチェーンを悪用することで、リモートコード実行（RCE）を達成し、結果として影響を受けるサーバーの完全な制御を奪う可能性があります。CISAは、この脆弱性が活発に悪用されていることを確認しており、連邦政府機関に対して2026年6月5日までに修正を義務付けています。
具体的な影響・攻撃シナリオ
この脆弱性を悪用することで、未認証の攻撃者はCacheWarmerクッキーに細工されたPHPオブジェクトを送り込み、サーバー上で任意のPHPコードを実行できます。これにより、ウェブサイトの改ざん、機密情報の窃取、バックドアの設置、さらにはサーバー全体の乗っ取りといった、壊滅的な被害が発生する可能性があります。特に、オンラインストアを運営するMagentoサイトにとって、顧客データ漏洩やビジネスの停止は甚大な影響を及ぼします。
エンジニアが今すぐ取るべき対策
1.11.12以上へ更新し、管理者、顧客データ、追加ファイル、cron、外部通信を調査します。VulnCheckはCVSS v4.0 9.3 CRITICALとv3.1 9.8 CRITICALの両方を公表しています。cookieの単純な正規表現遮断はペイロードの変形で回避され得るため、公式更新の代替にはなりません。
📦