News

お知らせ

職場でのコミュニケーションでは、伝えた側の意図と、受け取った側の理解が必ずしも一致するとは限りません。例えば、上司が部下に伝えた「もう少し考えてみて」という一言。

人事評価の時期になると、評価結果や今後の目標について考える機会が増えます。一方で、評価を受けた社員の中には、

「やるべき仕事が多すぎて、何から手をつければいいかわからない」「目の前の仕事を片づけても、次々に新しい仕事が入ってくる」そんなとき、焦りやプレッシャーを感じることはありませんか？仕事が重なると、どれも急いで対応しなければいけないように感じてしまうものです。

疲れたとき、どのように過ごしていますか？家でゆっくり横になる。好きな動画を見る。少し散歩をして、外の空気を吸う。

先日、Adobe Commerce / Magento Open Source向けの予定されていたセキュリティリリースが終わりました。リリーススケジュール上では、よほど緊急な脆弱性がない限りは、11月と12月についてはセキュリティリリースは行われません。この記事では、2026年10月時点でのAdobe Commerce / Magento Open Sourceで注意するべきパッチ管理について解説していきたいと思います。 Adobe Commerce / Magento Open Sourceのリリース方法の変化2025年までと2026年以降のAdobe Commerce / Magento Open Sourceのリリースは大きな違いがあります。 2025年まで：2.4.8-p3 のように「-p◯」の数字が定期的なセキュリティリリースごとに増える。緊急性の高い脆弱性については別途パッチを提供。 2026年：年1回の正式リリース・Security Patch Releaseに加え、10月までの間は毎月Isolated Security Patchを提供。Isolated Security Patchを適用してもバージョン番号は変わらない。 2025年までのリリース形態は、わかりやすい反面以下のような問題もありました。 セキュリティ対応以外の仕様変更・機能追加が紛れ込む サードパーティ製ライブラリの更新を伴うことがある 変更範囲が大きいので、適用までに時間を要する これらの理由によって、最新バージョンへのアップデートが渋られがちになり、脆弱性が放置されやすい状態になっていました。そして2026年になってリリーススケジュールが大きく改められることになります。具体的には、 新バージョンのリリースは年1回（4月〜5月あたり） 10月までの期間、毎月セキュリティパッチをリリース 月次のIsolated Security Patchを適用してもバージョン番号は変わらない というものに変わりました。セキュリティ修正のみをリリースする形に変わったため、影響範囲がわかりやすくなり、パッチの公開から適用までの時間を短くすることが可能になりました。2026年のリリース方法変更によって新たに気をつけるべきこと現在のAdobe Commerce / Magento Open Sourceのリリースでは、以下の点に気をつける必要があります。 初期インストールバージョンが何であるか そのバージョンのリリース後に公開されたセキュリティパッチが何個あるか 例えば、最新の正式バージョンである2.4.9の場合は、 2.4.9本体 2026年7月パッチ 2026年8月パッチ StyleSmuggler (CVE-2026-75650)パッチ 2026年9月パッチ 2026年10月パッチ という構成にする必要があります。つまり、2.4.9をインストールしたあとで、5回分のパッチをリリースの順番に適用しなければ真に安全な環境にならない、ということです。 これは現在公式サポートが継続中の2.4.7系や2.4.8系でも同様です。 これらのリリースラインでは、まず2026年5月に公開された最新のSecurity Patch Release（2.4.7-p10、2.4.8-p5）までアップデートしたうえで、その後に公開されたIsolated Security Patchを順番に適用する必要があります。 古い「-p◯」のまま最新のIsolated Security Patchだけを適用することはできないため、構築・保守を開始する際には現在のベースバージョンを確認することが重要です。パッチの適用状況は専用ツールで確認Adobeは2026年7月パッチのリリースに含める形で、パッチの適用状況を確認するための専用ツールを提供しています。このツールは以下のコマンドで実行できます。 php vendor/bin/patch-status このツールでは、適用済み・未適用の月次セキュリティパッチに加え、各CVEについて現在の環境が保護されているかどうかも確認できます。まとめ2026年以降のAdobe Commerce / Magento Open Sourceのリリースは年1回の正式リリースと、複数回のセキュリティパッチリリースに改められました。2025年までであれば「2.4.x-p◯を利用している」という情報である程度パッチレベルを判断できましたが、2026年以降はバージョン番号だけではセキュリティ状態を判断できません。今後はバージョン番号とあわせて、Isolated Security Patchの適用状況を管理する必要があります。 セキュリティパッチの適用は容易になりましたが、初期状態そのままでは非常に危険な状況になってしまっています。これから次の正式リリースまでの間に構築を開始される場合は、きちんとリリースノートを確認し、必要とされるパッチを適用したうえで着手する必要があります。2027年のリリーススケジュールは現時点では未発表ですが、2026年を踏襲する形になる場合はこれからもセキュリティパッチの厳格な適用と管理が必要になりそうです。

2026年10月16日、埼玉しごとセンター主催「ストレス社会を生き抜くための心理学講座」が開催されました。本講座は、厚生労働省埼玉労働局委託事業「若年者地域連携事業セミナー」として定期的に開催されているものです。前回の開催に引き続き、今回も定員50名を大きく上回る88名のお申し込みをいただきました。多くの方にご関心をお寄せいただき、改めて「ストレスとの向き合い方」が働くうえでも日々の生活においても、身近なテーマであることを感じる開催となりました。 39歳以下向けの講座に、幅広い世代が集まった本講座は、本来は39歳以下の若年者向けとしてご案内しているものです。ところが今回は、40歳以上の方も相当数お申し込みくださり、60歳以上の方もいらっしゃったと伺いました。 ストレスとの付き合い方は、年齢やキャリアの段階に関係なく、誰もが「今、知りたい」テーマなのだと改めて感じました。若手の方なら初めての職場や人間関係への適応、ミドル世代なら責任や役割の変化、シニア世代なら働き方の転換。悩みの中身は違っても、「変化の中で、自分を保ちながら働き続けたい」という思いは共通しているのだと思います。ストレスの仕組みを知り、自分に合うセルフケアを持つ講座の前半では、まずストレスの仕組みを整理しました。ストレスを「ボールを押さえつける力」にたとえると、押す力（ストレス要因）、跳ね返す力（ストレス耐性）、ボールの歪み（ストレス反応）の3つに分けて考えることができます。そして、ストレス状態を放置すると、やがて心身の不調につながりかねません。だからこそ「早期発見、早期対処」が大切です。 そのうえで、自律神経を整える、睡眠を確保する、呼吸法（4・7・8呼吸法）、身体を動かす、五感に働きかける、好きなことをする、という6つのセルフケアをご紹介しました。 「好きなことをする」のパートでは、「屋内／屋外」「1人／2人以上」の4つの枠に、自分が好きなことや気分転換になることを書き出す個人ワークを行いました。その後、4〜5名のグループに分かれてブレイクアウトルームでシェアし、最後にチャットで全体共有。他の方の答えを聞くことで「それもいいな」と自分のリストが増えていくのが、このワークの醍醐味です。 人間関係のストレスには「視点」と「向き合い方」を厚生労働省の調査では、強いストレスを感じている人の約3割が、その内容として「対人関係」を挙げています。後半は、職場の人間関係をテーマにお話ししました。 理不尽な言動を受けたとき、「なぜこんな態度を取られなければならないのか」と考えがちですが、「何が相手にそうした言動を取らせているのか」に目を向けると、少し冷静になれます。また、ペーシングや伝え返しなど、ラポールを築きやすい会話のコツもご紹介しました。「なぜ私があの人に合わせなければいけないの？」と思うかもしれませんが、それは相手のためではなく、自分自身のストレスを減らすためでもあるのです。 相手を理解するためには、自分視点だけでなく、相手視点や第三者視点を持つことが欠かせません。相手が何を求めているのか、どんな価値観を大切にしているのか、自分が誤解していることはないか。そうした問いを立てるうえで役立つのが、診断ツールです。 講座では、脳の使い方の傾向から自分と相手の思考・行動パターンを読み解く「B-BRAINテスト」と、自分の怒りの傾向やこだわりの「べき」を知ることができる「アンガーマネジメント診断」をご紹介しました。自分のタイプを知ることは、相手との違いを「性格が合わない」ではなく「脳や価値観の使い方が違う」と捉え直すきっかけになります。 どちらも当社で実施しておりますので、ご関心のある方はぜひご覧ください。・B-BRAINテスト：https://www.verite-office.jp/b-brain/・アンガーマネジメント診断：https://www.verite-office.jp/about-anger-management さらに、問題に対して「戦う」「気にするのをやめる」「あえて距離を取る」など、向き合い方そのものを自分で決めることの大切さもお伝えしました。「話すことは、離すこと。話すことは、放つこと。」講座の終盤では、「相談する相手を持つ」ことをテーマに、もう一度個人ワークの時間を取りました。キャリア、家族、職場など悩みの種類ごとに「誰に相談できるか」を書き出していただくものです。書いてみると、意外と相談先が思い浮かばない分野があることに気づく方も多いのではないでしょうか。 講座でご紹介した「もっとも簡単なストレス公式」は、「問題（悩み）÷リソース（資源）＝ストレス」です。問題そのものを小さくできなくても、頼れる人や場所というリソースを増やせば、ストレスは小さくなります。実際、厚生労働省の調査でも、相談した人のうち「解消した」が33.1％、「気が楽になった」が56.2％にのぼっています。悩みが解決しなくても、話すだけで心は軽くなるのです。 そして最後にお伝えしたのが、「話すことは、離すこと。話すことは、放つこと。」という言葉です。主催者の方のブログでも取り上げていただき、とても嬉しく思いました。 代表はじめ、当社で大切にしているのは、限界になってから相談するのではなく、元気なうちから話すことです。体の健康診断のように、心やキャリアにも定期的な点検の機会があっていい。当社ではこれを「キャリアの健診」と呼んでいます。相談は最後の手段ではなく、自分を整えるための最初の一歩なのです。最後にこれだけ多くの、そして幅広い世代の方にお申し込みいただいたことは、「ストレスとの向き合い方を学びたい」というニーズの大きさの表れだと受け止めています。 一人で抱え込まず、話せる相手を持つこと。それは家族や友人、職場の仲間でもいいですし、キャリアコンサルタントのような専門家でもかまいません。今回の講座が、そのきっかけになっていれば幸いです。 ベリテワークスでは、企業・団体向けのメンタルヘルス研修やキャリア研修のほか、B-BRAINテストやアンガーマネジメント診断を活用した個人・チーム向けのフィードバックも承っております。お気軽にお問い合わせください。

2026年10月10日（土）・11日（日）に奥多摩で開催された、人事図書館主催の「人事祭2026」。ベリテワークス株式会社はサポーターとして参加し、10月11日（日）に「人事のための自己理解ラボ B-Brain×九星気学プチ鑑定体験会」を開催しました。当日お立ち寄りいただいたみなさまと、B-Brainや九星気学を通じて、ご自身の特徴や強み、これからの過ごし方について考える時間となりました。

「困ったことがあったら、いつでも相談してください」部下にそう伝えている上司の方も多いのではないでしょうか。相談できる関係をつくることは、メンタルヘルス対策においても大切なことです。

Adobeが公表している2026年のパッチリリーススケジュール通り、セキュリティパッチがリリースされました。今回も新バージョンのリリースではなく、セキュリティパッチのみのリリースとなっています。 なお、Magento Open Source向けの2.4.7系より前のバージョンについてはメンテナンスがすでに終了しています。 そのため、2.4.4系〜2.4.6系用のパッチはAdobe Commerce専用のリリースとなります。では、早速詳細を確認していくことにしましょう。対象となるバージョン2026年10月現在、Adobe Commerce / Magento Open Sourceのサポート対象となっているバージョン系統は、 2.4.9 2.4.8 2.4.7 となっています。 前述の通りMagento Open Sourceの2.4.7系以前のバージョンはサポートが終了していますので、対象外です。Adobe Commerceの2.4.4系〜2.4.6系に対してのみリリースが行われています。 そのため、今回のアップデートの対象バージョンは以下の通りです。 2.4.9系 + 2026年8月のパッチ + 9月のパッチ 2.4.8-p5 + 2026年8月のパッチ + 9月のパッチ 2.4.7-p10 + 2026年8月のパッチ + 9月のパッチ 2.4.6-p15 + 2026年8月のパッチ + 9月のパッチ Adobe Commerce 2.4.5-p17 + 2026年8月のパッチ + 9月のパッチ Adobe Commerce 2.4.4-p18 + 2026年8月のパッチ + 9月のパッチ また、Adobe Commerce B2Bにおいては、 1.5.3 + 2026年7月のパッチ + 9月のパッチ 1.5.2-p5 + 2026年7月のパッチ + 9月のパッチ 1.4.2-p10 + 2026年7月のパッチ + 9月のパッチ 1.3.4-p17 + 2026年7月のパッチ + 9月のパッチ 1.3.3-p18 + 2026年7月のパッチ + 9月のパッチ が明確に対象であると示されています。セキュリティパッチの内容Adobe Security Bulletinによると、今回のセキュリティパッチでは11件の脆弱性が修正されているようです。内訳としては、 Criticalが5件 Highが5件 Mediumが1件 となっています。2026年最後のセキュリティパッチということもあり、件数と内容ともに多くなっています。 CVE番号 脆弱性カテゴリ 影響 深刻度 認証要否 管理者権限 CVSS基本値 CVSSベクトル 備考 CVE-2026-103849 テンプレートエンジンにおける特殊要素の不適切な無害化 (CWE-1336) 任意のコード実行 Critical 不要 不要 10.0 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H   CVE-2026-92909 不適切な認可 (CWE-863) 任意のコード実行 Critical 不要 不要 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H B2B CVE-2026-91013 クロスサイトスクリプティング（格納型XSS） (CWE-79) 権限昇格 Critical 不要 不要 9.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N   CVE-2026-100133 クロスサイトスクリプティング（格納型XSS） (CWE-79) 権限昇格 Critical 不要 不要 9.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N   CVE-2026-92464 不適切な入力検証 (CWE-20) 任意のコード実行 Critical 必要 必要 9.1 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H   CVE-2026-92911 クロスサイトスクリプティング（格納型XSS） (CWE-79) 任意のコード実行 High 必要 不要 8.7 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N   CVE-2026-95631 不適切な入力検証 (CWE-20) 任意のファイルシステム書き込み High 必要 必要 8.7 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H   CVE-2026-92908 不適切な認可 (CWE-863) セキュリティ機能のバイパス High 必要 不要 8.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L B2B CVE-2026-92922 クロスサイトスクリプティング（格納型XSS） (CWE-79) 権限昇格 High 必要 必要 8.1 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N   CVE-2026-92910 不適切な認可 (CWE-863) セキュリティ機能のバイパス High 不要 不要 7.2 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N B2B CVE-2026-95630 不適切な入力検証 (CWE-20) セキュリティ機能のバイパス Medium 必要 不要 4.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N   ※管理者権限の要不要については、CVSSベクトルの「PR:H」をもとに弊社で独自に記載。今回のリリースの緊急性についてAdobe Security Bulletinでは、緊急度を次の3段階に分けて示しています。 緊急度1・・・最上位の緊急度。72時間以内に対処が必要。 緊急度2・・・中位の緊急度。30日以内の対処を推奨。 緊急度3・・・低位の緊急度。直ちに問題が起きることは考えにくいため、管理者の判断での適用が可能。 今回のリリースについては、 Adobe Commerce B2B・・・緊急度2 Adobe Commerce・・・緊急度2 Magento Open Source・・・緊急度2 となっています。今回はパッチ適用を30日以内を目処に行えば問題はないとされていますが、CVSSベクトルの内容から判断すると、これは緊急度1相当だと考えてよいでしょう。パッチ適用時の注意点今回のセキュリティパッチは、最新バージョンのAdobe Commerce / Magento Open Sourceを対象としています。「最新バージョン」の意味としては、 2.4.9 + 2026年8月パッチ + 2026年9月パッチ 2.4.8-p5 + 2026年8月パッチ + 2026年9月パッチ 2.4.7-p10 + 2026年8月パッチ + 2026年9月パッチ 2.4.6-p15 + 2026年8月パッチ + 2026年9月パッチ のようにパッチバージョンが最新であるものが対象ということです。また、冒頭でも書きましたが、前回のセキュリティパッチが適用済みである事が前提です。それ以外の環境に対し、今回のセキュリティパッチを適用することは自己責任です。まとめ2026年10月のAdobe Commerce / Magento Open Sourceのセキュリティパッチは、前回よりも件数や重要度ともに高いものになりました。9月のように2回に分けてリリースされることはなかったものの、脆弱性の数は多くなっています。 また昨今は生成AIを悪用した攻撃が横行しているため、このような脆弱性の公表から攻撃の実行までの期間が以前よりも短くなっています。今回の緊急性は2で、30日以内の適用が推奨されていますが、緊急度1だと思って対応することが望ましいと言えます。

Adobe Commerce on Cloud のパッチ適用が、管理画面からワンクリックでできるようになりました。Adobe が公開した「Patching Automation」（URL 上の名称は CAPS tool）です。 これまでクラウド案件のパッチ適用は、Quality Patches Tool で対象パッチを確認し、m2-hotfixes にファイルを置き、ブランチを切って Integration 環境で確認し、Staging・Production へマージする──という手作業の連続でした。手順そのものは難しくありませんが、案件数が増えるほど工数と「うっかり」のリスクが積み上がる作りでした。 本記事では、Experience League の公式ドキュメントをもとに、このツールで何ができて、どこに注意すべきかを保守運用の現場目線で整理します。Patching Automation（CAPS）とはAdobe Commerce on Cloud のパッチの適用と切り戻し（Revert）を自動化する、Adobe 公式の運用ツールです。管理画面の Site-Wide Analysis Tool（SWAT）にタブとして組み込まれており、別途インストールするものではありません。 項目 内容 正式名称 Adobe Commerce Patching Automation（公式ページ上で「CAPS」の正式な展開は未記載） 対象 Adobe Commerce on Cloud（PaaS）。バッジにはオンプレも含む記載があるが、本文・手順は Cloud 前提 利用場所 管理画面 > Reports > System Insights > Site-Wide Analysis Tool > Patching Automation タブ 想定利用者 管理者、開発者、パートナー 操作 Apply（適用）と Revert（切り戻し） パッチの置き場 m2-hotfixes フォルダ（Revert 時は自動削除）   ポイントは「パッチを当てる」こと自体より、その前後の検証とブランチ操作までを一連のジョブとして自動実行する点です。仕組み：3つのフェーズCAPSのジョブは必ず「事前チェック → パッチ適用 → 検証」の順で進みます。最大の特徴は、本番などの対象環境に触る前に、一時的な 検証環境を自動で作成してパッチ適用の結果を検証する、ということです。   事前チェック：パッチファイルの妥当性、環境の状態・リソース、既存コードとの衝突、Commerce バージョンとの互換性を確認。本番ではメンテナンスモード ON・cron 停止が条件です。 パッチ適用 {対象環境}-CAPS-{パッチID} ブランチを対象環境の子として作成。コードは引き継ぎますが、DB やメディアは複製されません。 m2-hotfixes にパッチを配置して push、デプロイ。アプリ起動と DB・キャッシュ接続をヘルスチェック。 対象環境が作業中に変化していないか確認してからマージし、対象環境をデプロイ。 検証：マージ後に再度ヘルスチェックし、一時環境を削除。履歴はプロジェクトの Activity に残ります。 Revert も同じ 3 フェーズで、m2-hotfixes からパッチを取り除きます。ただし対象はこのツールで当てたパッチだけです。失敗したときの挙動パッチの適用が失敗した場合、処理のタイミングによってその後の挙動が変わります。 タイミング 挙動 対象環境への影響 マージ前に失敗 一時環境を即削除 なし 作業中に対象環境が変化 マージせず停止 なし マージコンフリクト 自動解決せず失敗として報告 なし マージ後のヘルスチェック失敗 ロールバックされない 壊れたまま残る可能性あり。手動対応が必要   最後の行がこのツールの最大の注意点です。「自動」でも、マージ後の障害は人が拾う前提です。使い方権限は Cloud Console のロールがそのまま使われます。プロジェクトが表示されない場合は、アカウントオーナーか Project admin にロールを付与してもらいます。 ロール できること Project admin 全環境で Apply / Revert Contributor 割り当てられた環境で Apply / Revert Viewer 閲覧のみ 適用の流れ 管理画面で Reports > System Insights > Site-Wide Analysis Tool を開く Patching Automation タブを選ぶ プロジェクトと環境を選ぶ 適用可能なパッチと互換性ステータスを確認する パッチを選んで Apply（または Revert） 本番の場合は確認ダイアログを承認する 本番では、メンテナンスモードが OFF か cron が動いているとジョブがブロックされます。ツールはこの 2 つを自動で切り替えないので、事前に手動で設定します。チェックを飛ばす上書きチェックボックスもありますが、通常運用では使わない前提でよいでしょう。GitHubと連携しているプロジェクトの場合GitHub リポジトリと連携している場合は、先に「Patching Automation GitHub App」のインストールが必要です。 GitHub 組織またはリポジトリの Owner / Admin 権限が必要 「Only select repositories」で対象リポジトリだけを許可する GitHub インテグレーションの fetch-branches が有効でないと、一時環境が作られずタイムアウトする github.com 以外のカスタムドメインのリポジトリは非対応 現場で使う前に押さえておきたいこと便利なツールですが、「押せば終わり」ではありません。保守案件で使う前に、次の 5 点は運用ルールに落としておきたいところです。 本番にいきなり当てない。一時環境には DB やメディアが複製されないため、ヘルスチェックで分かるのは「起動して DB・キャッシュにつながる」までです。チェックアウトや決済、カスタム連携の動作は、Staging で従来どおり人が確認します。 空き環境とディスク容量を確認する。ジョブごとに Integration 環境を 1 つ使います。使っていない環境が埋まっていると「Unable to activate integration environment」で止まります。 実行中は対象環境に push しない。作業中に対象ブランチが変わると「Environment is not in sync with parent」で停止します。チームや別ベンダーとのデプロイ調整が必要です。 手動で当てたパッチと混在させない。Revert できるのはこのツールで当てたものだけです。どのパッチをどの経路で当てたかを記録しておくと、障害時に迷いません。 マージ後の障害に備える。検証フェーズで失敗しても自動では戻りません。メンテナンス窓を取り、切り戻し手順と担当者を決めてから実行します。 想定外のエラーは、文言をそのまま Adobe Support に伝えるよう公式にも書かれています。Project ID と Environment ID をすぐ出せるようにしておくと、問い合わせが早くなります。まとめPatching Automation は、パッチ適用の「ブランチを切る・試す・マージする」を安全側に倒した形で自動化してくれるツールです。一方で、業務レベルの動作確認とマージ後の障害対応は、引き続き人の仕事です。 まずは Staging で使い、自社のパッチ運用フローにどう組み込むかを試してみるのがおすすめです。