这是一篇针对正在被积极利用（已列入 CISA KEV）漏洞的快速解读。内容涵盖发生了什么、哪些人受影响以及如何应对，立场为防御方，不包含复现步骤。
- CVE
- CVE-2026-71362
- 严重程度
- 严重（CVSS 9.1 / v3.1）
- 类型
- 授权不当（CWE-863）
- 影响
- 权限提升——用 Adobe 的话说，是“对敏感资源的更高访问权限”
- 前提条件
- 无需认证，无需管理员权限，无需用户交互
- 受影响范围
- Adobe Commerce（2.4.4–2.4.9）、Adobe Commerce B2B 以及 Magento Open Source（2.4.6–2.4.9），各产线版本标注为 “2026-jul” 及更早
- 修复
- 同一产线的 “2026-aug” 发布版（2026 年 8 月 11 日发布，公告编号 APSB26-92）
- 利用情况
- 已列入 CISA KEV（2026 年 9 月 24 日加入，修复期限为 9 月 27 日），标记为需要取证分诊
等待的风险有多大？
无需认证、无需用户交互，意味着每个面向互联网的商店都可能被访问。约 90% 的 EPSS 估计值使其位列所有 CVE 的前 0.3%。电商网站持有客户数据并处理支付，长期以来一直是自动化攻击的主要目标。“我们是小店”对于这种无差别扫描的攻击毫无意义。
这是什么类型的缺陷？
授权决定了某个请求者能否执行某项操作或查看某些数据。它不同于其是否成功登录（认证）这一问题，授权判断中的缺口会让本不该被触及的功能和数据暴露出来。这一区别在认证与授权一文中有详细说明。
CVE-2026-71362 正是这样一个缺口（CWE-863），Adobe 将其归类为权限提升。其 CVSS 向量包含 PR:N——被评为未登录者即可利用，并且对机密性和完整性均为高影响。本站不描述其利用方式。
8 月 11 日——修复版本发布（APSB26-92）
优先级 2 /“未发现利用” → 许多商店可能合理地推迟到下一次定期更新
8 月 18 日——公告最后更新
此后利用说明未再变化
9 月 24 日——CISA 将其加入 KEV（9 月 27 日到期）
已确认利用。未修补的商店可能在此日期之前已成为目标
受影响范围
| 产品 | 受影响版本 | 修复版本 |
|---|---|---|
| Adobe Commerce | 2.4.9 / 2.4.8 / 2.4.7 / 2.4.6 / 2.4.5 / 2.4.4，各为 2026-jul 及更早 | 同一产线的 2026-aug |
| Adobe Commerce B2B | 1.5.3 / 1.5.2 / 1.4.2 / 1.3.4 / 1.3.3，各为 2026-jul 及更早 | 同一产线的 2026-aug |
| Magento Open Source | 2.4.9 / 2.4.8 / 2.4.7 / 2.4.6，各为 2026-jul 及更早 | 同一产线的 2026-aug |
| 旧产线 | NVD 将 2.4.4 之前的版本列为受影响 | 无修复版本——请迁移到受支持的产线 |
同一公告还修复了其他六个漏洞
APSB26-92 共修复七个问题，包括存储型 XSS 及其他授权缺陷。只有 CVE-2026-71362 列入了 KEV，但更新可以一次性解决全部七个问题。相比逐个寻找临时缓解措施，更新更快。
应该怎么做
更新到你所用产线的 2026-aug 发布版（第一优先级）
确认商店的产线和补丁级别，然后更新到该产线的 2026-aug 发布版，并确认运行版本已变更。如果你运行多个环境——生产、预发布、一个旧的备用店面——所有可从互联网访问的环境都在范围之内。被遗忘的旧店铺最不可能被打补丁（安全资产清单）。
对于已停止支持的产线，把迁移列入今天的议程
2.4.4 之前的产线没有修复版本。迁移需要时间，因此在此期间应限制可以访问管理后台和 API 入口的人员，并开启 WAF 防护以减少可以访问你的对象。这能暂时降低风险，但并不能修复缺陷，只有迁移才能彻底解决。
检查你的商店在未修补期间是否被入侵
如果商店在 8 月 11 日之后的任何时段未修补，应将该时段视为存疑；CISA 还将此 CVE 列为需要取证分诊。至少应检查：（1）管理员账户——是否有你不认识的账户，或权限被更改的账户。（2）集成和 API 令牌——是否有你没有创建的令牌，或近期签发的令牌。（3）文件和配置——尤其是结账页面加载的脚本，以及可在管理面板中编辑的 HTML 和设置（在电商入侵事件中，植入窃取支付数据的脚本是典型目标）。（4）日志——是否存在来自异常来源、在异常时段或异常流量下对管理或 API 功能的访问。
如果有任何异常，请一并轮换凭据
如果无法排除入侵的可能，请轮换管理员密码、集成令牌以及支付和外部 API 的密钥，并使所有会话失效。补丁可以修复缺陷，但不会撤销已经被窃取的凭据或密钥。修复缺陷与清除入侵者是两项独立的任务。完整流程见漏洞修复手册。
不要再等待“下一次更新”
就像此次一样，发布时被判定为不紧急的更新，之后可能变得紧急。请订阅 KEV 新增条目的通知（本站的漏洞预警是一种途径），或在常规更新周期之外应用安全更新。
本站观点：“优先级 2”并没有错，只是从未更新
把责任归于 Adobe 发布时的评级并没有抓住重点。如果发布时尚未观察到利用，给出较低的优先级是合理的判断。问题在于公告中的评级保持不变，而读者仍将其视为现行评级。
这种结构并非 Adobe 独有。厂商严重性（CVSS、优先级）描述的是缺陷本身；KEV 和 EPSS 描述的是它现在是否正被针对。前者在发布时确定且不再变动，后者则每天变化。因此本站建议：补丁顺序不应在发布时一次性确定，而应随 KEV 和 EPSS 的变化重新排定。四十四天，就是商店在没有这种重新排定的情况下持续暴露的时长。
来源
- Adobe——Security update available for Adobe Commerce | APSB26-92（2026 年 8 月 11 日发布，8 月 18 日最后更新；包括受影响及修复版本、优先级、CVSS 以及“未发现利用”的说明）
- NVD——CVE-2026-71362（CWE-863，CVSS v3.1 9.1；受影响配置包括 2.4.4 之前的版本）
- CISA KEV——Known Exploited Vulnerabilities Catalog（2026 年 9 月 24 日加入，9 月 27 日到期，需要取证分诊）
- FIRST——EPSS（2026 年 9 月 25 日为 0.896，第 99.78 百分位）
延伸阅读
- 决策参考：结合 CVSS、EPSS 和 KEV 确定优先级 / 漏洞修复手册
- 工作原理：认证与授权 / 什么是 IDOR？
- 对照案例：CVE-2026-87902（WordPress 核心：修复后三天列入 KEV）
- 另一则 Magento 预警：CVE-2026-45247（Magento 扩展中的未认证远程代码执行）
- 术语：什么是 CVSS？ / 什么是 PCI DSS？