PaaS のみ

Magento Open Source 2.4.2 リリースノート

最終更新日： 2025年5月5日
  • トピック：

作成対象：

  • 経験者
  • 管理者
  • 開発者

Magento Open Source 2.4.2 では、パフォーマンスとセキュリティの強化に加えて、プラットフォームが大幅に改善されました。 セキュリティの強化には、すべての cookie に対する SameSite 属性のサポートの拡張が含まれます。 Elasticsearch 7.9.x と Redis 6.x がサポートされるようになりました。

このリリースには、コアコードに対する 280 を超える新しい修正と、35 を超えるセキュリティ機能強化が含まれています。 コミュニティメンバーによる約 290 件の GitHub 問題の解決が含まれています。 これらのコミュニティの貢献度は、コアコードの小規模なクリーンアップから、GraphQLでの大幅な機能強化まで多岐にわたります。

2.4.1 で特定された既知の問題はすべて、このリリースで修正されました。

NOTE
Adobe Commerce リリースには、後方互換性のない変更（BIC）が含まれている場合があります。 後方互換性のない変更を確認するには、BIC リファレンスを参照してください。 後方互換性のない主な問題については、BIC ハイライトで説明しています。 すべてのリリースで主要な BIC が導入されるわけではありません。

配送業者として DHL を引き続き提供するには、AC-3022.patch を適用してください

DHL ではスキーマバージョン 6.2 を導入しており、近い将来、スキーマバージョン 6.0 を廃止する予定です。 DHL 統合をサポートするAdobe Commerce 2.4.4 以前のバージョンは、バージョン 6.0 のみをサポートしています。これらのリリースをデプロイするマーチャントは、DHL を配送業者として引き続き提供するために、できるだけ早い時期に AC-3022.patch を適用する必要があります。 パッチのダウンロードとインストールについては、ナレッジベースの記事 DHL を引き続き配送業者として提供するためのパッチを適用するを参照してください。

セキュリティパッチを利用できます

マーチャントは、完全な四半期リリースが提供する何百もの機能修正や機能強化（たとえば 2.4.1-p1）を適用することなく、時間に依存するセキュリティ修正をインストールできるようになりました。 パッチ 2.4.0.12 （Composer パッケージ 2.4.1-p1）は、以前の四半期リリース 2.4.1 で特定された脆弱性の修正を提供するセキュリティ パッチです。2.4.1 リリースに適用されたすべてのホットフィックスが、このセキュリティパッチに含まれています。 （ホットフィックス は、特定の問題やバグに対処するリリースバージョンの修正を提供します。）

セキュリティパッチの一般的な情報については、 新しいセキュリティパッチリリースの概要を参照してください。 セキュリティパッチ（パッチ 2.4.1-p1 を含む）のダウンロードと適用の手順については、 オンプレミスでのクイックスタートのインストールを参照してください。 セキュリティパッチには、セキュリティバグ修正のみが含まれ、完全なパッチに含まれる追加のセキュリティ機能強化は含まれません。

その他のリリース情報

これらの機能のコードは四半期ごとのリリースにバンドルされていますが、これらのプロジェクトの一部（例：Progressive Web Application（PWA） Studio）も個別にリリースされています。 これらのプロジェクトのバグ修正は、各プロジェクトのドキュメントで利用できる別のプロジェクト固有のリリース情報に記載されています。

ハイライト

このリリースのハイライトは次のとおりです。

セキュリティの大幅な強化

このリリースには、35 を超えるセキュリティ修正と platform セキュリティの改善が含まれています。 すべてのセキュリティ修正は 2.4.1-p1 および 2.3.6-p1 に移植されています。

リモートコード実行（RCE）およびクロスサイトスクリプティング（XSS）の脆弱性を閉じるのに役立つ 35 を超えるセキュリティ強化

これらの問題に関連する確認された攻撃は、今日まで行われていません。 ただし、特定の脆弱性が悪用されて、顧客情報にアクセスしたり、管理者のセッションを引き継いだりする可能性があります。 これらの問題のほとんどは、攻撃者が最初に管理者へのアクセス権を取得する必要があります。 そのため、IP許可リストに加える、 二要素認証、VPN の使用、/admin ではなく一意の場所の使用、適切なパスワードハイジーンなど、管理者を守るために必要なすべての手順を実行してください。 修正された問題の詳細については、Adobe セキュリティ速報を参照してください。

その他のセキュリティ機能強化

このリリースのセキュリティの改善点は次のとおりです。

  • すべてのコア cookie で SameSite 属性がサポートされるようになりました。

  • ユーザーがこれらのフィールドに値を保存しようとすると、製品およびカテゴリの説明フィールドに、悪意のあるコンテンツを特定するメッセージが表示されるようになりました。

  • 悪意のあるアップロードを防ぐために、コンポーネント間のファイルシステム操作が標準化および強化されています。

  • コアコンテンツセキュリティポリシー（CSP）の違反が修正されました。

NOTE
2.3.2 リリース以降、アドビは、外部関係者からアドビに報告された各セキュリティバグに対して、インデックス付きの Common Vulnerability and Exposures （CVE）番号を割り当て、公開します。 これにより、ユーザーはデプロイメント内の対処されていない脆弱性をより簡単に特定できます。 CVE 識別子について詳しくは、CVE を参照してください。

インフラストラクチャの改善

このリリースには、フレームワークと次の機能領域の品質を向上させるコア品質の機能強化が含まれています：顧客アカウント、カタログ、CMS、OMS、インポート/エクスポート、プロモーションとターゲティング、買い物かごとチェックアウト。

プラットフォームの機能強化

このリリースでは、分割データベースを使用するようにインストールを設定する機能は廃止されました。 現在、分割データベースを使用しているマーチャントは、単一データベースに戻す、単一データベースに移行する、または別の方法を使用する計画を開始する必要があります。 この問題の概要については、Magento Open Sourceでの分割データベース機能の廃止DevBlog の投稿を参照してください。 移行手順については、 分割されたデータベースから単一のデータベースへの復帰を参照してください。