[PaaS のみ]{class="badge informative" title="Adobe Commerce on Cloud プロジェクト（Adobeが管理する PaaS インフラストラクチャ）およびオンプレミスプロジェクトにのみ適用されます。"}

Adobe Commerce 2.4.4 セキュリティパッチのリリースノート

これらのセキュリティパッチリリースノートでは、Adobe Commerce デプロイメントのセキュリティを強化するためのアップデートを取り込んでいます。 情報には、以下が含まれますが、これらに限定されません。

セキュリティパッチリリースについて詳しくは、以下を参照してください。

2.4.4-p17

Adobe Commerce 2.4.4-p17は、2.4.4の以前のリリースで特定された脆弱性に対するセキュリティバグ修正を提供する拡張サポートセキュリティリリースです。Adobe Commerceのお客様のみが利用できます。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB26-05を参照してください。

2.4.4-p16

Adobe Commerce 2.4.4-p16は、2.4.4の以前のリリースで特定された脆弱性に対するセキュリティバグ修正を提供する拡張サポートセキュリティリリースです。Adobe Commerceのお客様のみが利用できます。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB25-94を参照してください。

ハイライト

既知の問題

チェックアウトページでstatic.min.jsとmixins.min.jsの読み込みに失敗する

JavaScriptのバンドルと縮小の両方が実稼働モードで有効になっている場合、CSP/SRI が最近変更された後、チェックアウトページで static.min.js と mixins.min.js が読み込まれません。 その結果、RequireJS mixin が実行されず、チェックアウトノックアウトテンプレートが解決されません（例："Failed to load the 'Magento_Checkout/shipping' template requested by 'checkout.steps.shipping-step.shippingAddress'"）。

回避策:

ホットフィックス:

ホットフィックスが利用可能です。 パッチの詳細については、ナレッジベースの JS の縮小とバンドルが有効な場合にチェックアウトが失敗する ​ を参照してください。

2.4.4-p15

Adobe Commerce 2.4.4-p15は、以前のリリースの2.4.4で特定された脆弱性に対するセキュリティバグ修正を提供する拡張サポートセキュリティリリースです。Adobe Commerceのお客様のみが利用できます。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB25-71を参照してください。

2.4.4-p14

Adobe Commerce 2.4.4-p14は、以前のリリースの2.4.4で特定された脆弱性に対するセキュリティバグ修正を提供する拡張サポートセキュリティリリースです。Adobe Commerceのお客様のみが利用できます。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB25-50を参照してください。

ハイライト

このリリースには、次のハイライトが含まれています。

2.4.4-p13

Adobe Commerce 2.4.4-p13のセキュリティリリースには、以前のリリースの2.4.4で特定された脆弱性に対するセキュリティバグの修正が含まれています。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB25-26を参照してください。

ハイライト

System/Support/Data Collector サポートツールが削除され、不正アクセスが防止され、プラットフォームセキュリティが強化されました。

2.4.4-p12

Adobe Commerce 2.4.4-p12 セキュリティリリースでは、以前のリリース 2.4.4で特定された脆弱性に対するセキュリティバグの修正が行われています。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB25-08を参照してください。

ハイライト

このリリースには、次のハイライトが含まれています。

2.4.4-p11

Adobe Commerce 2.4.4-p11 セキュリティリリースには、以前のリリース 2.4.4で特定された脆弱性に対するセキュリティバグの修正が含まれています。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB24-73を参照してください。

ハイライト

このリリースには、次のハイライトが含まれています。

2.4.4-p10

Adobe Commerce 2.4.4-p10 セキュリティリリースには、以前のリリース 2.4.4で特定された脆弱性に対するセキュリティバグの修正が含まれています。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB24-61を参照してください。

ハイライト

このリリースには、次のハイライトが含まれています。

このリリースに含まれるホットフィックス

このリリースには、次のホットフィックスが含まれています。

2.4.4-p9

Adobe Commerce 2.4.4-p9のセキュリティリリースには、以前のリリースの2.4.4で特定された脆弱性に対するセキュリティバグの修正が含まれています。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB24-40を参照してください。

CVE-2024-34102のホットフィックスを適用する

2024 年 6 月 11 日にリリースされたセキュリティパッチまたは 2024 年 6 月 28 日にリリースされた分離パッチを適用していないお客様の場合：

オプション 1:

オプション 2:

2024 年 6 月 11 日にリリースされたセキュリティパッチまたは 2024 年 6 月 28 日にリリースされた分離パッチを既に適用しているお客様の場合：

既に 1 の場合） 2024 年 6 月 11 日にリリースされたセキュリティパッチを適用した場合、または 2 の場合） 2024 年 6 月 28 日にリリースされた分離パッチ、および 3 の場合）暗号化キーをローテーションした場合：

プラットフォームのアップグレード

ハイライト

2.4.4-p8

Adobe Commerce 2.4.4-p8 セキュリティリリースには、Adobe Commerce 2.4.4のデプロイメントに関するセキュリティバグ修正が含まれています。 これらのアップデートは、以前のリリースで特定された脆弱性を修正します。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB24-18を参照してください。

2.4.4-p7

Adobe Commerce 2.4.4-p7 セキュリティリリースには、以前のリリースで特定された脆弱性に対するセキュリティバグの修正が含まれています。 このリリースには、最新のセキュリティのベストプラクティスへのコンプライアンスを向上させるセキュリティの機能強化も含まれています。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB24-03を参照してください。

ハイライト

このリリースでは、次の2つの重要なセキュリティ機能強化が導入されています。

2.4.4-p6

Adobe Commerce 2.4.4-p6 セキュリティリリースには、以前のリリースで特定された脆弱性に対するセキュリティバグの修正が含まれています。 このリリースには、最新のセキュリティのベストプラクティスへのコンプライアンスを向上させるセキュリティの機能強化も含まれています。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB23-50を参照してください。

このリリースには、最新のセキュリティのベストプラクティスへのコンプライアンスを向上させるセキュリティの機能強化も含まれています。

ハイライト

このリリースでは、{BASE-URL}/page_cache/block/esi HTTP エンドポイントに関連するリスクを軽減するのに役立つ、新しいフルページキャッシュ設定設定が導入されました。 このエンドポイントは、Commerceのレイアウトハンドルとブロック構造から無制限に動的に読み込まれるコンテンツフラグメントをサポートしています。 新しい​ Handles Param ​構成設定では、このエンドポイントのhandles パラメーターの値が設定され、APIごとに許可されるハンドルの最大数が決定されます。 このプロパティのデフォルト値は100です。 この値は、管理者（Stores > Settings: Configuration > System > Full Page Cache > Handles Param）から変更できます。

既知の問題

問題: Composerによる​ からのダウンロード中に ​間違ったチェックサム repo.magento.com エラーがAdobe Commerceに表示され、パッケージのダウンロードが中断されます。 この問題は、プレリリース中に利用可能になったリリースパッケージのダウンロード中に発生する可能性があり、magento/module-page-cache パッケージの再パッケージによって発生します。

回避策：ダウンロード中にこのエラーが表示されるマーチャントは、次の手順を実行できます。

チェックサムの問題が解決しない場合は、composer.lock コマンドを再実行してすべてのパッケージを更新する前に、bin/magento composer update ファイルを削除してください。

2.4.4-p5

Adobe Commerce 2.4.4-p5 セキュリティリリースには、以前のリリースで特定された脆弱性に対するセキュリティバグの修正が含まれています。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB23-42を参照してください。

CVE-2022-31160のホットフィックスを適用する

jQuery-UI ライブラリ バージョン 1.13.1には、Adobe CommerceとMagento Open Sourceの複数のバージョンに影響する既知のセキュリティ脆弱性（CVE-2022-31160）があります。 このライブラリは、Adobe CommerceおよびMagento Open Source 2.4.4、2.4.5、および2.4.6の依存関係です。影響を受けるデプロイメントを実行しているマーチャントは、ナレッジベース記事「jQuery UI セキュリティ脆弱性CVE-2022-31160修正プログラム（2.4.4、2.4.5、2.4.6 リリース ​）を適用する必要があります。

2.4.4-p4

Adobe Commerce 2.4.4-p4 セキュリティリリースには、以前のリリースで特定された脆弱性に対するセキュリティバグ修正が含まれています。 このリリースには、最新のセキュリティのベストプラクティスに準拠するために、セキュリティの強化とプラットフォームのアップグレードも含まれています。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB23-35を参照してください。

CVE-2022-31160のホットフィックスを適用する

jQuery-UI ライブラリ バージョン 1.13.1には、Adobe CommerceとMagento Open Sourceの複数のバージョンに影響する既知のセキュリティ脆弱性（CVE-2022-31160）があります。 このライブラリは、Adobe CommerceおよびMagento Open Source 2.4.4、2.4.5、および2.4.6の依存関係です。影響を受けるデプロイメントを実行しているマーチャントは、ナレッジベース記事「jQuery UI セキュリティ脆弱性CVE-2022-31160修正プログラム（2.4.4、2.4.5、2.4.6 リリース ​）を適用する必要があります。

ハイライト

isEmailAvailable GraphQL クエリと（V1/customers/isEmailAvailable） REST エンドポイントの既定の動作が変更されました。 デフォルトでは、APIは常にtrueを返すようになりました。 マーチャントは元の動作を有効にできます。つまり、メールがデータベースに存在しない場合はtrue、存在する場合はfalseを返します。

プラットフォームのアップグレード

このリリースのプラットフォームのアップグレードは、最新のセキュリティのベストプラクティスへのコンプライアンスを向上させます。

2.4.4-p3

Adobe Commerce 2.4.4-p3 セキュリティリリースには、以前のリリースで特定された脆弱性に対するセキュリティバグの修正が含まれています。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB23-17を参照してください。

2.4.4-p2

Adobe Commerce 2.4.4-p2のセキュリティリリースでは、以前のリリースで特定された脆弱性に対する修正が提供されています。 1つの修正には、新しい設定設定の作成が含まれます。 電子メールが変更された場合は電子メールの確認を必要とする​の設定設定により、管理者ユーザーが電子メールアドレスを変更したときに管理者が電子メールの確認を必要とすることができます。

セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB22-48を参照してください。

配送業者としてDHLを提供し続けるには、AC-3022.patchを適用します

DHLはスキーマバージョン 6.2を導入しており、近い将来スキーマバージョン 6.0を廃止する予定です。 DHL統合をサポートするAdobe Commerce 2.4.4以前のバージョンは、バージョン 6.0のみをサポートします。これらのリリースを展開する販売者は、DHLを配送業者として提供し続けるために、最も早い都合でAC-3022.patchを適用する必要があります。 パッチのダウンロードとインストールについて詳しくは、配送業者としてDHLを提供し続けるためのパッチの適用 ナレッジベースの記事を参照してください。

2.4.4-p1

Adobe Commerce 2.4.4-p1 セキュリティリリースには、以前のリリースで特定された脆弱性に対する修正が含まれています。 このリリースには、最新のセキュリティのベストプラクティスに準拠するためのセキュリティの強化も含まれています。

セキュリティのバグ修正に関する最新情報については、Adobe セキュリティ情報tを参照してください。

配送業者としてDHLを提供し続けるには、AC-3022.patchを適用します

DHLはスキーマバージョン 6.2を導入しており、近い将来スキーマバージョン 6.0を廃止する予定です。 DHL統合をサポートするAdobe Commerce 2.4.4以前のバージョンは、バージョン 6.0のみをサポートします。これらのリリースを展開する販売者は、DHLを配送業者として提供し続けるために、最も早い都合でAC-3022.patchを適用する必要があります。 パッチのダウンロードとインストールについて詳しくは、配送業者としてDHLを提供し続けるためのパッチの適用 ナレッジベースの記事を参照してください。

ハイライト

このリリースのセキュリティの改善点は、次のような最新のセキュリティのベストプラクティスに準拠することです。

既知の問題

問題: 2.4.4-p1 パッケージ [2022-06-14T16:58:23.694Z] PHP Fatal error: Declaration of Magento\TestFramework\ErrorLog\Logger::addRecord(int $level, string $message, array $context = []): bool must be compatible with Monolog\Logger::addRecord(int $level, string $message, array $context = [], ?Monolog\DateTimeImmutable $datetime = null): bool in /var/www/html/dev/tests/integration/framework/Magento/TestFramework/ErrorLog/Logger.php on line 69で実行すると、Web APIと統合テストにこのエラーが表示されます。 回避策: require monolog/monolog:2.6.0 コマンドを実行して、以前のバージョンのMonologをインストールします。

問題:Adobe Commerce 2.4.4からAdobe Commerce 2.4.4-p1へのアップグレード中に、パッケージ バージョンのダウングレードに関する通知が表示される場合があります。 これらのメッセージは無視できます。 パッケージバージョンの相違は、パッケージ生成時の異常に起因します。 製品機能には影響はありません。 影響を受けるシナリオと回避策について詳しくは、ナレッジベースの記事「2.4.4から2.4.4-p1」にアップグレードした後にダウングレードされた パッケージを参照してください。