Adobe Commerce 2.4.7 セキュリティパッチのリリースノート
これらのセキュリティパッチリリースノートには、Adobe Commerceのデプロイメントのセキュリティを強化するためのアップデートが記載されています。 情報には、以下のものが含まれますが、これらに限定されません。
- セキュリティのバグ修正
- セキュリティパッチに含まれる機能強化とアップデートに関する詳細を提供するセキュリティハイライト
- 既知の問題
- 必要に応じて追加のパッチを適用する手順
- リリースに含まれるホットフィックスに関する情報
セキュリティパッチリリースの詳細：
- Adobe Commerce セキュリティパッチリリースの概要
- セキュリティパッチリリースのダウンロードと適用方法については、Adobe Commerce ナレッジベースの セキュリティパッチの入手と適用方法を参照してください。
mysql 8.0以降にリリースされたMySQL バージョンをサポートします。 Adobeでは
このAdobeの新しいMySQL メジャーバージョンの検証またはサポートの提供
Commerce リリースライン。
データベースサーバーを互換性のあるMariaDB バージョンに移行することをお勧めします。
2.4.7-p10
Adobe Commerce 2.4.7-p10 セキュリティリリースには、以前のリリース 2.4.7で特定された脆弱性に対するセキュリティバグの修正が含まれています。
セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB26-49を参照してください。
ハイライト
このリリースには、次のハイライトが含まれています。
MariaDB 11.8との互換性
Adobe Commerce 2.4.7-p10では、MariaDB バージョン 11.8との互換性が導入されています。 MariaDB 11.8では、SQLの動作、デフォルト、非推奨、およびパフォーマンス最適化が変更されています。 このアップデートは、プラットフォームの安定性と将来の準備態勢を維持するための潜在的な問題に積極的に対処します。
OpenSearch 3の最新マイナーバージョンのサポート
Adobe Commerce 2.4.7では、クラウドインフラストラクチャ、クラウドネイティブおよびオンプレミスのデプロイメントで、Adobe Commerce上のOpenSearch 3の最新マイナーバージョンがサポートされるようになりました。 OpenSearch 2との互換性は保持されます。
Valkey 8.1 LTS サポート
Adobe Commerce 2.4.7はValkey 8.1 LTSと互換性を持つようになり、クラウドインフラストラクチャ上のAdobe Commerceでサポートされている長期的なキャッシュバックエンドオプションを提供します。
RabbitMQ 4.2のサポート
Adobe Commerce 2.4.7は、2026年2月に予定されているRabbitMQ 4.1のサポート終了日に対応するRabbitMQ 4.2と互換性を持つようになりました。 Apache ActiveMQ Artemisとの互換性は保持され、ActiveMQはこのセキュリティのみのリリースラインのデフォルトのメッセージキューサービスのままです。
USPS REST APIのサポート
USPS出荷統合では、従来のWeb ツール APIに加えて、最新のRESTful USPS APIがサポートされるようになりました。 管理者は、管理者設定から使用するUSPS統合APIを選択できます。 このアップデートは、USPS Web Tools APIの非推奨化に備えています。
Magento所有のラミナス MVC フォーク
Laminas MVCの退職に対処するため、Adobe CommerceはMagentoが所有するlaminas-mvc （公開名：magento/magento-zf-mvc）のフォークを使用するようになりました。 このフォークは、Adobe Commerce 2.4.7の継続的なパッチ適用と長期的なセキュリティコンプライアンスを保証します。
2.4.7-p9
Adobe Commerce 2.4.7-p9 セキュリティリリースには、以前のリリース 2.4.7で特定された脆弱性に対するセキュリティバグ修正が含まれています。
セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB26-05を参照してください。
ハイライト
このリリースには、次のハイライトが含まれています。
DHL配送の統合のためのMyDHL REST API サポート
DHL出荷統合では、既存のDHL Express XML統合に加えて、MyDHL REST APIがサポートされるようになりました。 このアップデートはDHLの現在のAPI スタックに合っており、古いXML APIの廃止に備えています。
最新バージョンのComposerとの互換性の追加
Adobe Commerce 2.4.7が更新され、Composer 2.9.xがサポートされるようになりました。ただし、Composer 2.2 LTSとの互換性は維持されます。
2.4.7-p8
Adobe Commerce 2.4.7-p8 セキュリティリリースには、以前のリリース 2.4.7で特定された脆弱性に対するセキュリティバグの修正が含まれています。
セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB25-94を参照してください。
このリリースには、次のハイライトが含まれています。
-
REST APIの脆弱性を解決するためのCVE-2025-54236の修正。 Adobeは、2025年9月にこの問題のホットフィックスをリリースしました。 詳しくは、「操作が必要です：Adobe Commerceで利用可能な重要なセキュリティ更新プログラム （APSB25-88） Knowledge Baseの記事を参照してください。
-
開発者は、REST API コンストラクタパラメーター検証を確認して、これらのセキュリティ変更に準拠するように拡張機能を更新する方法を確認する必要があります。
-
TinyMCEからHugerte.orgへの移行
TinyMCE 5および6のサポートの終了と、TinyMCE 7との非互換性のライセンスが原因で、Adobe Commerce WYSIWYG エディターの現在の実装は、TinyMCEからオープンソースのHugeRTE エディターに移行されます。
この移行により、Adobe Commerceはオープンソースライセンスに準拠し、既知のTinyMCE 6の脆弱性を回避し、最新のサポートされた編集体験をマーチャントと開発者に提供できます。
-
Apache ActiveMQ Artemis STOMP プロトコルのサポートを追加しました
Simple Text Oriented Messaging Protocol （STOMP）によるActiveMQ Artemis オープンソースのメッセージブローカーのサポートを追加しました。 信頼性の高いスケーラブルなメッセージングシステムを提供し、STOMP ベースの統合に柔軟に対応できます。 Commerce Configuration GuideのApache ActiveMQ Artemisを参照してください。
既知の問題
チェックアウトページでstatic.min.jsとmixins.min.jsの読み込みに失敗する
JavaScriptのバンドルと縮小の両方が実稼動モードで有効になっている場合、最近のCSP/SRIの変更後、チェックアウトページにstatic.min.jsとmixins.min.jsが読み込まれません。 その結果、RequireJS Mixinが実行されず、チェックアウト ノックアウト テンプレートが解決されません（例："Failed to load the 'Magento_Checkout/shipping' template requested by 'checkout.steps.shipping-step.shippingAddress'"）。
回避策:
- JavaScript バンドルを無効にする。または
- JavaScript バンドルを有効にしておく場合は、JavaScriptの縮小を無効にします。
ホットフィックス:
ホットフィックスが利用可能です。 パッチの詳細については、ナレッジベースで「JSの縮小とバンドルが有効になっている場合にチェックアウトが失敗する」を参照してください。
2.4.7-p7
Adobe Commerce 2.4.7-p7 セキュリティリリースには、以前のリリース 2.4.7で特定された脆弱性に対するセキュリティバグの修正が含まれています。
セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB25-71を参照してください。
2.4.7-p6
Adobe Commerce 2.4.7-p6 セキュリティリリースには、以前のリリース 2.4.7で特定された脆弱性に対するセキュリティバグの修正が含まれています。
セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB25-50を参照してください。
ハイライト
このリリースには、次のハイライトが含まれています。
-
MariaDB サポート - MariaDB 10.11のサポートを追加しました。
-
API パフォーマンスの向上 – 以前のセキュリティ パッチの後に導入された一括非同期web API エンドポイントのパフォーマンス低下を解決します。
-
CMS ブロック アクセス修正 – 制限された権限（マーチャンダイジング専用アクセスなど）を持つ管理者ユーザーがCMS Blocksの一覧ページを表示できなかった問題を解決します。
以前は、以前のセキュリティ パッチをインストールした後、構成パラメーターが欠落しているため、これらのユーザーでエラーが発生していました。
-
Cookie制限の互換性 - フレームワークの
MAX_NUM_COOKIES定数に関する後方互換性のない変更を解決します。 この更新プログラムは、期待される動作を復元し、cookieの制限と相互作用する拡張機能またはカスタマイズの互換性を確保します。 -
非同期操作 – 以前の顧客の注文を上書きするための非同期操作が制限されています。
2.4.7-p5
Adobe Commerce 2.4.7-p5 セキュリティリリースには、以前のリリース 2.4.7で特定された脆弱性に対するセキュリティバグの修正が含まれています。
セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB25-26を参照してください。
ハイライト
System/Support/Data Collector サポートツールが削除され、不正アクセスが防止され、プラットフォームセキュリティが強化されました。
このリリースでは、Adobe Commerce HIPAA対応拡張機能のサポートも導入されています。
既知の問題
問題: 2.4.7-p5をPHP 8.2以降でインストールする場合、システムはpaypal/module-braintree バージョン 4.7.0をインストールします。これは、2.4.8以降を対象としています。 PHP 8.1では、正しいBraintree バージョン 4.6.1-p5が使用されます。 この不一致は、メタパッケージのadobe-commerce/extensions-metapackage: ~2.0への依存関係が緩いことが原因です。 これは、PHP 8.2以降のデプロイメントの互換性とサポートされている機能セットに影響します。
また、バージョン 2.4.7-p3、2.4.7-p4、および2.4.7-p5では、Braintree拡張機能バージョン 4.6.1-p5がインストールされる場合がありますが、一部のユーザーは、以前より厳格な依存関係が緩和され、リリースライン内で拡張機能をアップグレードできるようになったため、4.6.1-p3またはp4がインストールされることを期待しています。
回避策: PHPのバージョンに合った適切なBraintree バージョンを使用するには、composer updateを実行して、adobe-commerce/extensions-metapackage:2.0.0依存関係に従って適切なバージョンをインストールします。
2.4.7-p4
Adobe Commerce 2.4.7-p4 セキュリティリリースには、以前のリリース 2.4.7で特定された脆弱性に対するセキュリティバグ修正が含まれています。
セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB25-08を参照してください。
ハイライト
このリリースには、次のハイライトが含まれています。
-
暗号化キーの管理とデータの再暗号化 – 暗号化キーの管理を再設計して、使いやすさを向上させ、以前の制限やバグを排除しました。
新しいCLI コマンドが、変更 キーと再暗号化特定のシステム設定、支払い、およびカスタムフィールドデータに対して使用できるようになりました。 このリリースでは、Admin UIでのキーの変更はサポートされなくなりました。 CLI コマンドを使用する必要があります。
-
CVE-2025-24434🔗の修正 – 認証の脆弱性を解決します。
この修正プログラムは、独立したパッチとしても利用できます。 詳しくは、 ナレッジベース記事を参照してください。
-
TinyMCE バージョンのダウングレード - ライセンスの互換性の問題に対処するために、TinyMCE依存関係がバージョン 7から6.8.5にダウングレードされました。
この変更により、Adobeは別のオープンソースのWYSIWYG エディターを評価する間、継続的なコンプライアンスが保証されます。
2.4.7-p3
Adobe Commerce 2.4.7-p3 セキュリティリリースには、以前のリリース 2.4.7で特定された脆弱性に対するセキュリティバグの修正が含まれています。
セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB24-73を参照してください。
ハイライト
このリリースには、次のハイライトが含まれています。
-
TinyMCE のアップグレード - Admin の WYSIWYG Editor は、最新バージョンの TinyMCE 依存関係（7.3）を使用するようになりました。
-
TinyMCE 7.3 は、ユーザーエクスペリエンスの向上、コラボレーションの強化、効率の向上を実現します。 TinyMCE 5 は 2.4.8 リリース行で削除されました
-
TinyMCE 5.10 で報告されているセキュリティの脆弱性（CVE-2024-38357）があるため、依存関係も、現在サポートされているすべてのリリースラインでアップグレードされ、2024 年 10 月のすべてのセキュリティパッチに含まれていました。
- 2.4.7-p3
- 2.4.6-p8
- 2.4.5-p10
- 2.4.4-p11
-
-
Require.js のアップグレード - Adobe Commerceで最新バージョンの Require.js （2.3.7）が使用されるようになりました。
-
Require.js 2.3.6 でセキュリティの脆弱性（CVE-2024-38999）が報告されていたので、依存関係も、現在サポートされているすべてのリリースラインでアップグレードされ、2024 年 10 月のすべてのセキュリティパッチに含まれていました。
- 2.4.7-p3
- 2.4.6-p8
- 2.4.5-p10
- 2.4.4-p11
-
このリリースに含まれるホットフィックス
このリリースには、Braintree payment gateway の問題を解決するためのホットフィックスが含まれています。
Braintreeを支払い窓口として使用する場合、3DS VISA の委任要件を満たすために必要なフィールドが含まれるようになりました。 これにより、すべての取引が VISA によって設定された最新のセキュリティ標準に準拠するようになります。 以前は、これらの追加フィールドは送信された支払い情報に含まれていなかったので、新しい VISA 要件に準拠していない可能性がありました。
2.4.7-p2
Adobe Commerce 2.4.7-p2のセキュリティリリースには、以前のリリースの2.4.7で特定された脆弱性に対するセキュリティバグ修正が含まれています。
セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB24-61を参照してください。
ハイライト
このリリースには、次のハイライトが含まれています。
-
one-time passwordsのレート制限 – two-factor authentication (2FA) one-time password (OTP)検証でレート制限を有効にするために、次の新しいシステム設定オプションが使用できるようになりました。
- 二段階認証の再試行回数
- 二段階認証のロックアウト時間（秒）
Adobeでは、2FA OTP検証のしきい値を設定して、ブルートフォース攻撃を軽減するための再試行回数を制限することをお勧めします。 詳しくは、設定リファレンスガイドの セキュリティ > 2FAを参照してください。
-
暗号化キーのローテーション – 暗号化キーを変更するための新しいCLI コマンドが利用可能になりました。 詳しくは、「暗号化キーのローテーションのトラブルシューティング：CVE-2024-34102 ナレッジベース」の記事を参照してください。
-
CVE-2020-27511](https://nvd.nist.gov/vuln/detail/CVE-2020-27511)の修正 – Prototype.jsのセキュリティ脆弱性を解決します。[
-
CVE-2024-39397🔗の修正 – リモート コード実行のセキュリティの脆弱性を解決します。 この脆弱性は、オンプレミスまたはセルフホスト型のデプロイメントにApache web サーバーを使用するマーチャントに影響します。 この修正プログラムは、独立したパッチとしても利用できます。 詳しくは、「Adobe Commerceに関するセキュリティアップデート - APSB24-61 Knowledge Base記事」を参照してください。
このリリースに含まれるホットフィックス
このリリースには、次のホットフィックスが含まれています。
- PageBuilder エディターでGoogle マップが正しくレンダリングされないJavaScript エラーを解決するためのホットフィックスです。 詳しくは、「すべてのAdobe Commerce バージョンにおけるGoogle マップのアクセス損失に関する修正パッチ ナレッジベース記事」を参照してください。
- CVE-2024-34102に関連するJSON web トークン（JWT）検証の問題を解決するためのホットフィックス。 詳しくは、Adobe Commerce-APSB24-40🔗 ナレッジベース記事で利用可能な セキュリティアップデートを参照してください。
2.4.7-p1
Adobe Commerce 2.4.7-p1 セキュリティリリースでは、以前のリリースの2.4.7で特定された脆弱性に対するセキュリティバグ修正が提供されています。
セキュリティ バグの修正に関する最新情報については、Adobe セキュリティ情報APSB24-40を参照してください。
CVE-2024-34102のホットフィックスを適用する
2024年6月11日にリリースされたセキュリティ パッチまたは2024年6月28日にリリースされた個別パッチを適用していないユーザー：
オプション 1:
オプション 2:
2024年6月11日にリリースされたセキュリティ パッチまたは2024年6月28日にリリースされた個別パッチを既に適用しているお客様：
-
2024年7月17日にリリースされた ホットフィックス を適用します。
-
暗号化キーを回転します。
既に1） 2024年6月11日にリリースされたセキュリティ パッチを適用したお客様、または2） 2024年6月28日にリリースされた個別パッチ、および3）暗号化キーをローテーションしたお客様：
- 2024年7月17日にリリースされた ホットフィックス を適用します。
ハイライト
このリリースには、次のハイライトが含まれています。
-
Google Authenticatorの ワンタイムパスワード（OTP）設定を更新します。この更新は、2.4.7の後方互換性のない変更によって発生したエラーを解決するために必要です。 OTP Window フィールドの説明で、設定が正確に説明されるようになりました。デフォルト値は
1から29に変更されました。 -
B2B バージョンの互換性 - Commerce バージョン 2.4.7-p1との互換性を保つために、Adobe Commerce B2B拡張機能を持つマーチャントは、B2B バージョン 1.4.2-p1にアップグレードする必要があります。
このリリースに含まれるホットフィックス
Adobe Commerce 2.4.7-p1は、SOAPからREST APIへのUPS統合の移行範囲で発生した問題を解決します。 この問題は、米国外に出荷するお客様に影響を及ぼし、UPSで出荷を作成するパッケージに対してメトリックシステム/SI測定（kgとcm）を使用できないようにしました。 詳しくは、UPS shipping method integration migration from SOAP to RESTful APIのナレッジベース記事を参照してください。