Magento Open Source 2.4.1 リリースノート

最終更新日： 2024年11月25日
  • トピック：

作成対象：

  • 経験者
  • 管理者
  • 開発者

Magento Open Source 2.4.1 では、パフォーマンスとセキュリティが強化されました。 セキュリティの強化として、cookie の SameSite 属性のサポート、支払いに関連する API エンドポイントと注文関連 API エンドポイントの CAPTCHA 保護の追加、注文ストアフロントページの追加などがあります。

このリリースには、2.4.0 に含まれていたコア品質のすべての改善、コアコードに対する 150 を超える新しい修正、15 を超えるセキュリティ強化が含まれています。 コミュニティメンバーによる約 300 件の GitHub 問題の解決が含まれています。 これらのコミュニティの貢献度は、コアコードの小規模なクリーンアップから、GraphQLでの大幅な機能強化まで多岐にわたります。

2.4.0 で特定された既知の問題はすべて、このリリースで修正されました。

NOTE
Adobe Commerce リリースには、後方互換性のない変更（BIC）が含まれている場合があります。 後方互換性のない変更を確認するには、BIC リファレンスを参照してください。 後方互換性のない主な問題については、BIC ハイライトで説明しています。 すべてのリリースで主要な BIC が導入されるわけではありません。

セキュリティパッチを利用できます

マーチャントは、完全な四半期リリース（2.4.0-p1 など）が提供する何百もの機能修正や機能強化を適用しなくても、時間に依存するセキュリティ修正をインストールできるようになりました。 パッチ 2.4.0.1 （Composer パッケージ 2.4.0-p1）は、以前の四半期リリース 2.4.0 で特定された脆弱性の修正を提供するセキュリティ パッチです。2.4.0 リリースに適用されたすべてのホットフィックスが、このセキュリティパッチに含まれています。 （ホットフィックス は、特定の問題やバグに対処するリリースバージョンの修正を提供します。）

セキュリティパッチの一般的な情報については、 新しいセキュリティパッチリリースの概要を参照してください。 セキュリティパッチ（パッチ 2.3.5-p2 を含む）のダウンロードと適用の手順については、 オンプレミスでのクイックスタートのインストールを参照してください。 セキュリティパッチには、セキュリティバグ修正のみが含まれ、完全なパッチに含まれる追加のセキュリティ機能強化は含まれません。

配送業者として DHL を引き続き提供するには、AC-3022.patch を適用してください

DHL ではスキーマバージョン 6.2 を導入しており、近い将来、スキーマバージョン 6.0 を廃止する予定です。 DHL 統合をサポートするAdobe Commerce 2.4.4 以前のバージョンは、バージョン 6.0 のみをサポートしています。これらのリリースをデプロイするマーチャントは、DHL を配送業者として引き続き提供するために、できるだけ早い時期に AC-3022.patch を適用する必要があります。 パッチのダウンロードとインストールについては、ナレッジベースの記事 DHL を引き続き配送業者として提供するためのパッチを適用するを参照してください。

その他のリリース情報

これらの機能のコードは四半期ごとのリリースにバンドルされていますが、これらのプロジェクトの一部（例：Progressive Web Application（PWA） Studio）も個別にリリースされています。 これらのプロジェクトのバグ修正は、各プロジェクトのドキュメントで利用できる別のプロジェクト固有のリリース情報に記載されています。

ハイライト

このリリースのハイライトは次のとおりです。

セキュリティの大幅な強化

このリリースには、15 を超えるセキュリティ修正と platform セキュリティの改善が含まれています。 すべてのセキュリティ修正は 2.4.0-p1 および 2.3.6 に移植されています。

リモートコード実行（RCE）およびクロスサイトスクリプティング（XSS）の脆弱性を閉じるのに役立つ 15 を超えるセキュリティ強化

これらの問題に関連する確認された攻撃は、今日まで行われていません。 ただし、特定の脆弱性が悪用されて、顧客情報にアクセスしたり、管理者のセッションを引き継いだりする可能性があります。 これらの問題のほとんどは、攻撃者が最初に管理者へのアクセス権を取得する必要があります。 そのため、IP許可リストに加える、 二要素認証、VPN の使用、/admin ではなく一意の場所の使用、適切なパスワードハイジーンなど、管理者を守るために必要なすべての手順を実行してください。 修正された問題については、Magento可能なセキュリティ更新プログラムを参照してください。

その他のセキュリティ機能強化

このリリースのセキュリティの改善点は次のとおりです。

  • CAPTCHA 保護が次の製品領域に追加されました。

    • ストアフロントページと REST およびGraphQL エンドポイントの への注文
    • 支払いに関連する REST およびGraphQL エンドポイント。

    これらの追加のページに対する CAPTCHA 保護は、デフォルトで無効になっています。 CAPTCHA でカバーされる他のページと同様に、管理者で有効にすることができます。 この保護は、カード攻撃から店舗を保護するためのアンチブルートフォースメカニズムとして追加されています。 CAPTCHA を参照してください。

  • cookie の SameSite 属性のサポート。 新しい cookie 分類システムのGoogle Chrome適用をサポートするために、cookie を処理するアプリケーションクラスを更新して、SameSite cookie 属性をサポートするようになりました。 この属性はデフォルトで Lax に設定されていますが、明示的に上書きできます。

  • セキュリティ スキャン ツールの強化。 Adobeは、デジタルスキミング防止のリーダーである Sanguine Security と提携し、8,700 件を超える脅威情報のデータベースを Security Scan Tool に統合しました。 このパートナーシップにより、マーチャントは、マルウェアのプロアクティブな検出と誤検出の削減を通じて、サイトのセキュリティステータスに関するリアルタイムのインサイトを取得できます。 マーチャントは、https://account.magento.com/scannerにアクセスしてツールに登録できます。 詳しくは、 セキュリティ強化スキャンツールでストアフロントを保護するのブログ投稿を参照してください。

NOTE
2.3.2 リリース以降、アドビは、外部関係者からアドビに報告された各セキュリティバグに対して、インデックス付きの Common Vulnerability and Exposures （CVE）番号を割り当て、公開します。 これにより、ユーザーはデプロイメント内の対処されていない脆弱性をより簡単に特定できます。 CVE 識別子について詳しくは、CVE を参照してください。

インフラストラクチャの改善

このリリースには、フレームワークと次の機能領域の品質を向上させるコア品質の機能強化が含まれています。顧客アカウント、カタログ、CMS、OMS、インポート/エクスポート、プロモーションとターゲティング、買い物かごとチェックアウト、ステージングとプレビュー。

パフォーマンスの向上

  • Redis とMagento間のネットワーク転送の小型化。 bin/magento di:compile コマンドの実行中にプラグインリスト設定が生成されるようになりました。 この設定情報は、範囲に基づいて、生成されたメタデータフォルダーに書き込まれます。 以前は、この情報はキャッシュに保存されていました。 結果として、パフォーマンスが向上し、多くのシナリオでネットワーク・キャッシュ・サイズと実行時間が短縮されます。

  • メッセージキューコンシューマーパフォーマンスの強化。 3 つの新しい設定により、コンシューマーキューの CPU 消費の減少がサポートされます。 これらのオプションパラメーターを使用すると、コンシューマーに対する制御を強化し、サーバーリソースを節約できます。 maxIdleTime、sleep、onlySpawnWhenMessageAvailable の各パラメーターの説明については、 メッセージキューの設定を参照してください。

  • bin/magento コマンドの 実行時間が改善されました。

Adobe Stockの統合

このリリースには、Adobe Stock Integration v2.1.0 が含まれています。

新しいメディアギャラリー

新しいメディアギャラリーは、管理者でデフォルトで有効になりました。 マーチャントは、メディアギャラリーの画像に対してこれらのアクションを実行できるようになりました。

  • 画像を一括削除

  • ストアフロントで使用されていない重複した画像と画像を識別して、メディアストレージを最適化します

  • 商品やカテゴリのコンテンツ、CMSブロックなど、画像が使用されているストアフロント領域で画像をフィルタリングします

  • 画像メタデータの操作

    • Media Gallery にアップロードされた画像からのメタデータの表示
    • 画像メタデータ（タイトル、説明、キーワード）の編集
    • メタデータによる画像の検索

GraphQL

このリリースでは、次の機能に対するGraphQLのサポートが追加されました。

  • 製品レビュー。 顧客とゲストは製品レビューを書くことができます。 お客様は、製品のレビュー履歴を取得できます。 レビューインフラストラクチャに関する情報の取得については、 製品レビューの作成および productReviewRatingsMetadata クエリを参照してください。

  • ギフトオプション. すべてのお客様とゲストは、ご注文にギフトメッセージを追加できます。 お客様は、ギフト包装、ギフト領収書、印刷カードを注文に追加することもできます。 setGiftOptionsOnCart mutation および updateCartItems mutation を参照してください

  • 注文履歴. すべての顧客は、請求書、出荷、払い戻しを含む、注文履歴に関する詳細を表示できます。

  • 買い物かごに追加。 addProductsToCart のミューテーションを使用すると任意のタイプの製品をアクティブな買い物かごに追加できます。 addSimpleProductsToCart のような単一目的の突然変異の代わりに、この突然変異を使用することをお勧めします。 プルリクエスト 27914 で Yaroslav Rogoza によって送信された修正。 GitHub-28524

  • 保管されている支払い方法。 ログインされたお客様は、マイアカウントに支払いの詳細（Braintreeクレジットカードや PayPal とのBraintreeを含む）を保存できるようになりました。

  • Magento Open Sourceでのウィッシュリストのサポート。 ウィッシュリストに アイテムを追加したり、 アイテムを更新したり、 アイテムを削除したりできます。

  • 顧客アカウントの管理の向上。 顧客アカウントを管理するための createCustomerV2 と updateCustomerV2 の突然変異を追加しました。 これらの新しいミューテーションには、createCustomer と updateCustomer のミューテーションとは異なる入力オブジェクトが必要です。 顧客のメールアドレスを変更するには、新しい updateCustomerEmail ミューテーションを使用します。

  • Payflow Pro Vault のサポート。 Payflow Pro Vault 支払い方法のGraphQL Vault サポートを追加しました。 Oleh Usik によってプルリクエスト 28821 で送信された修正。 GitHub-28520

  • GraphQL storeConfig クエリが更新され新しいお客様の設定が含まれるようになりました。 Oleh Usik によってプルリクエスト 27876 で送信された修正。 GitHub-28521

  • requestPasswordResetEmail のミューテーションを追加しました。これは指定されたメールアドレスのパスワードリセットメールをトリガーします。 Oleh Usik によってプルリクエスト 27876 で送信された修正。 GitHub-28521

  • クラルナ・GraphQL。 Klarna の支払い方法および createKlarnaPaymentsSession の Klarna GraphQLに関するトピックを追加または更新しました

これらの機能強化について詳しくは、GraphQL開発者ガイドを参照してください。