Mage-OS 3：Magentoコミュニティ・ディストリビューションがセキュリティの実地試験に合格

2026年9月4日、パッチを最新に保っていたMagentoストアが、まだ知られていなかった脆弱性を突いた攻撃を受け始めました。StyleSmuggler——CVE-2026-75650として登録され、深刻度は10点満点の10、アカウントなしで悪用可能という脆弱性です。Adobeは9月7日に修正を公開。その翌日には、コミュニティ・ディストリビューションのMage-OSが全ユーザー向けに緊急セキュリティリリースを配信しました。Magento Open Sourceで店舗を運営する事業者にとって、この出来事は、普段は危機の後にしか問われない問いに答えています。すべてが燃える日、誰がセーフティネットを支えるのか。

公式のネットがないバージョンたち

Adobeのライフサイクルポリシーは明快です。2.4.6系は2026年8月11日に標準サポートを終了し、2.4.5系と2.4.4系はそれ以前に終了しています。修正提供を1〜2年延長する延長サポートは、Adobe Commerceのライセンス契約者だけのもので、Magento Open Sourceのストアには適用されません。

ところがStyleSmugglerは2.4.4から2.4.9まで、すべてのバージョンに影響しました。つまり、Open Source導入店舗の一部は、活発に悪用されている重大な脆弱性を前にして、自分のバージョン向けの公式パッチ経路を持たない状態に置かれたのです。Mage-OSが存在する理由は、まさにこのシナリオにあります。

Mage-OSとは何か

Mage-OSはMagentoから離れていくフォークではありません。同じコードベースを土台に、リリースエンジニアリング、セキュリティ対応、機能追加のレイヤーを重ねるコミュニティ・ディストリビューションで、独自のComposerパッケージミラーも備えます。2026年5月に公開されたバージョン3はMagento Open Source 2.4.9をベースとし、現場が長年求めてきたものを加えました。対話型インストーラー、ネイティブの返品管理（RMA）、管理者の操作ログ、軽量に始められるミニマル構成、そしてPHP 8.4と8.5への対応です。

9月の実地試験

理論は結構ですが、9月は実践を突きつけました。緊急リリース3.5.0はAdobeの修正直後に公開され、3.4をそのまま置き換えられます——同じ2.4.9ベースで、移行作業のない更新です。同月にAdobeが公開した単体パッチ（CVE-2026-77111ほか6件の修正）も取り込んでいます。

最も示唆的なのは、リリースに添えられた発信です。多くのベンダーが「今すぐ更新を」で済ませるところを、Mage-OSは、パッチは扉を閉めるだけで、すでに侵入した攻撃者を追い出すものではないと明記しました。9月4日から7日の間に到達可能だったストアは、侵害された可能性があるものとして扱うべきであり、暗号化キー、管理者パスワード、APIトークン、SSHアクセスのローテーションと、埋め込まれた不正コードの捜索が必要だと。これは商用ベンダーに期待される水準の運用成熟度です。

成果を出し続けるコミュニティ

コミュニティのセーフティネットの価値は、それを支えるコミュニティの活力で決まります。新学期の便りが伝える兆候は良好です。ボローニャのハッカソンでは30件を超える提案が生まれ、ディストリビューションのイタリア向け派生版が優先課題に選ばれました。オランダの貢献デーでは、セキュリティ、アクセシビリティ、使い勝手にまたがる50件超のプルリクエストが一日でマージされました。公開アンケートは次期バージョン4のAI開発の方向付けを担っています。そして秋は予定が詰まっています——10月22日のMeet Magentoドイツ（マインツ）から、29日のMeet Magentoポーランド（ポズナン）まで。

Open Source事業者の3つの道

• Adobeのディストリビューションに留まる。 ペースを守れるなら持続可能です。2029年5月までサポートされる2.4.9を目標にし、バージョンアップを特別プロジェクトではなく経常的な予算項目として計上すること。
• Mage-OSへ切り替える。 同じコードベース、Composerレベルの切り替え、実証済みのセキュリティ対応力、追加機能。引き換えに、サポート契約もサービス保証もありません——保証の名はコミュニティの活力であり、ベンダーを評価するのと同じように、証拠に基づいて評価すべきものです。
• Adobe Commerceへ移行する。 高度なB2B、契約上のコミットメント、クラウドサービスといったニーズがライセンス費用に見合うなら、問いの性質が変わります。もはやディストリビューション選びではなく、プラットフォーム選びです。

唯一擁護できない選択は現状維持です。今日、2.4.5や2.4.6のOpen Sourceストアは野ざらしのセキュリティ負債であり、9月はその実際のコストを示したばかりです。

今週やるべきこと

• 正確なバージョンとStyleSmuggler修正の適用状況を確認する。9月上旬にストアが露出していたなら、キーと認証情報のローテーションは任意ではありません。
• 2.4.6以前を使っているなら、今すぐ移行先を決める——Adobeの2.4.9か、Mage-OS 3.5か——そして移行コストを見積もる。
• 実際の拡張モジュール一式とともに、Mage-OSを検証環境でテストする。互換性は確認するものであって、仮定するものではありません。
• 代理店やインテグレーターにガバナンスの問いを投げる。誰がリリースを追い、誰が緊急修正を適用し、どれだけの速さで対応するのか。

9月は、コミュニティのネットが持ちこたえることを証明しました。本当の問いはもはや「Mage-OSは本気か」ではなく、「あなたはどのサポートラインを選び、それを誰が支えているのか」です。