本文面向：在 Adobe Commerce（原 Magento Commerce）或 Magento Open Source 上运营网上商店的企业、负责构建和维护这些商店的代理公司，以及托管服务商。本文基于 Adobe、CISA 和 NVD 的公开信息以及一家电子商务安全公司的报告撰写，不涉及攻击步骤或利用代码。
持续更新中：随着更多信息发布，本页面将会更新
截至2026年10月28日（日本时间）尚不清楚
- Adobe 对被利用情况的确认（公告仍表示未发现）
- 日本公共机构的警报（JPCERT/CC 和 IPA 均未发布）
- 日本商店中的受害者（未有披露）
CISA 于10月27日将该漏洞加入 KEV。Adobe 的修复于7月14日发布。被利用的细节来自一家电子商务安全公司的报告，Adobe 尚未确认。有新公告时，我们将更新本文。
今天要做的事
检查版本以及是否已应用修复
在商店服务器上运行 bin/magento --version 检查版本。7 月的修复以独立补丁的形式分发，应用在各版本线最新的安全版本（例如 2.4.7-p10）之上。要检查是否已应用，在 Adobe 托管的环境中使用 Quality Patches Tool（vendor/bin/magento-patches -n status），在其他环境中使用随修复附带的 Commerce Version Tool（应用 CE 补丁后可用）（Adobe 的发行说明）。如果商店由代理公司或维护公司运营，请向他们询问这两点。
应用修复
Adobe 的步骤是先升级到所在版本线的最新安全版本（-p 版本）（2.4.9 保持不变），然后应用 7 月的修复。补丁不是累积的，请按顺序应用。如果使用 Adobe Commerce Events 模块，请将其更新到 1.21.0 或更高版本。对于 Adobe 托管的环境（Adobe Commerce on cloud infrastructure），Adobe 表示最新的 Magento Cloud Patches 版本已修复该问题，并警告在其之上再应用独立补丁可能导致安装失败。请遵循 Adobe 的指引。
检查上传文件夹
该电子商务安全公司报告称，Web Shell 被放置在 pub/media/custom_options/（尤其是其下的 quote 文件夹）中，并建议同时检查 pub/media/customer_address/。请查找伪装成图片名称的文件，以及 .php、.phtml 或 .phar 等可执行文件。这些文件夹通常存放顾客随订单附加的文件等内容。
检查 CMS 区块、CMS 页面和管理员账户
在数据库中，检查 cms_block 和 cms_page 表中是否有你没有添加的 <script> 标签，以及最近被更改的条目（update_time）。该公司的报告列出了要搜索的字符串。检查 admin_user 中是否有你不认识的账户，并检查服务器上是否有陌生的运行进程。
如果发现迹象，先清理再更改凭据
删除恶意文件和脚本后，更改管理员账户、数据库和 API 集成的密码及令牌。仅删除脚本会留下攻击者的回归通道（Web Shell 或管理员账户）。如果结账页面被动过，请联系发卡公司和支付服务商。
无法立即应用修复时的临时措施（它们无法阻止攻击）
该公司建议配置 Web 服务器，拒绝对 pub/media/custom_options/ 的 Web 访问，并禁止在其中运行 PHP。这可以阻止上传的文件被从外部运行，但无法阻止文件被上传。该公司表示，需要 WAF（检查 Web 应用流量的系统）规则来阻止上传请求本身。两者都只是在应用修复之前的权宜之计。
受影响版本和修复版本
| 产品 | 受影响 | 修复（Adobe 的写法） |
|---|---|---|
| Adobe Commerce | 2.4.9、2.4.8-p5 及更早、2.4.7-p10 及更早、2.4.6-p15 及更早、2.4.5-p17 及更早、2.4.4-p18 及更早 | 2.4.9、2.4.8、2.4.7、2.4.6、2.4.5、2.4.4 各自的 2026-jul |
| Adobe Commerce B2B | 1.5.3、1.5.2-p5 及更早、1.4.2-p10 及更早、1.3.4-p17 及更早、1.3.3-p18 及更早 | 1.5.3、1.5.2、1.4.2、1.3.4、1.3.3 各自的 2026-jul |
| Magento Open Source | 2.4.9、2.4.8-p5 及更早、2.4.7-p10 及更早、2.4.6-p15 及更早 | 2.4.9、2.4.8、2.4.7、2.4.6 各自的 2026-jul |
| Adobe Commerce Events | 1.6.0 至 1.20.0 | 1.21.0 |
“2026-jul”不是新的版本号。它指的是各版本线最新的安全版本加上 7 月的独立补丁。在 Adobe 的发行说明中，补丁文件按目标版本区分，例如“2-4-7-p10-jul-2026.zip”。Magento Open Source 用户只能直接下载 2.4.6 及以后版本的补丁。
Adobe 的表格也将 2.4.9 列为受影响。该电子商务安全公司写道 2.4.9 已包含对该漏洞的修复，但该公告涵盖同一天修复的 14 个漏洞。我们建议遵循 Adobe 的表格，在 2.4.9 上也应用 7 月的修复。
允许上传文件的漏洞（入口）
由 7 月的修复（2026-jul）修复
被植入的 Web Shell
修复不会清除。检查上传文件夹
注入页面的脚本
修复不会清除。检查 cms_block 和 cms_page
新增的管理员及可能暴露的凭据
修复不会清除。检查 admin_user 并更改凭据
已披露的内容
- CVE
- CVE-2026-48356（Adobe 安全公告 APSB26-73）
- 类型
- 不受限制地上传危险类型的文件（CWE-434）。Adobe 将影响列为权限提升，严重程度为严重，并表示无需身份验证
- 严重程度
- Adobe 公告表格中为 CVSS v3.1 9.6（AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L）。Adobe 在 CVE 记录中登记的值和 NVD 的评分为 9.3（除 A:N 外完全相同）
- 影响（CVE 描述）
- 在当前用户的上下文中执行任意代码，可能接管受害者的账户或会话。描述称，利用需要受害者打开构造的 URL 或与被入侵的页面交互
- 修复
- 2026年7月14日发布（8月11日更新）。同一公告修复了 14 个漏洞，其中只有这一个被收录到 KEV。Adobe 的优先级评级为 2（三个级别中的中间级别）
- 被利用情况（Adobe）
- Adobe 表示未发现被利用的情况（截至10月28日的公告内容）
- 被利用情况（CISA）
- 2026年10月27日加入 KEV。美国联邦民事机构（FCEB）的期限为11月10日。是否被用于勒索软件攻击为“Unknown”（未知）。NVD 中 CISA 的 SSVC 评估将利用状况评为“active”（活跃）
两个 CVSS 值的区别仅在于可用性影响（A）是“低”还是“无”。两者都在 10 分制的 9 分段，属于严重级别，优先级不变。CVE 描述称需要用户交互（UI:R），但下文所述该公司 3 月的分析称无需登录即可上传文件。相比评分的细节，我们更看重 KEV 收录（本站观点）。
CISA 同一天加入 KEV 的另一个漏洞是 Brotli 压缩格式中的漏洞（CVE-2026-111497）。日本的组织不受美国期限约束，但 CISA 鼓励所有组织优先修复 KEV 漏洞。
攻击报告（一家电子商务安全公司的研究）
以下内容来自一家专门调查遭入侵网上商店的安全公司。Adobe 尚未确认。
2026年3月17日
该公司披露了 Magento 和 Adobe Commerce 中的一个文件上传漏洞，并将其命名为“PolyShell”。该公司表示，当时修复只存在于预发布版本（2.4.9 预发布版）中2026年3月30日
同一公司报告了一次利用 PolyShell 的大规模攻击，1 小时内有 471 家商店遭入侵（该报告未给出 CVE 编号）2026年7月14日
Adobe 发布 APSB26-73，为各个受支持的版本线提供修复2026年10月24日
该公司报告称，通过 PolyShell（CVE-2026-48356）以及 SessionReaper 等其他漏洞植入的 Web Shell 被用于向商店页面注入 JavaScript，自2025年7月以来该攻击活动共波及 953 家商店，大部分为 Magento2026年10月27日
CISA 将该漏洞加入 KEV
根据10月24日的报告，攻击者在植入 Web Shell 后，向数据库表 cms_block（商店页面上显示的区块）注入了 JavaScript。该脚本会从外部网站加载代码，针对每位访问者返回重定向或进一步的代码。这 953 家商店大部分是 Magento 商店，其中也包括通过另一个漏洞（SessionReaper，CVE-2025-54236）遭入侵的商店。
报告称，注入的代码也出现在已打补丁的商店中。作为例子，报告举出了一家运行 2.4.7-p10、没有缺少任何核心补丁的商店。报告还表示，删除脚本并不能清除攻击者的访问权限。报告未说明该访问权限是来自之前植入的 Web Shell 还是其他途径。
如果该公司所称的 PolyShell 与 CVE-2026-48356 相同，那么 3 月的大规模攻击发生在 Adobe 于 7 月为受支持版本线发布修复之前（本站推测；Adobe 尚未确认被利用）。如果你的商店在 7 月之前就已运营，追溯到 3 月检查痕迹会更稳妥。
日本的情况
截至10月28日，JPCERT/CC 和 IPA 尚未就该漏洞发布警报。在我们核查的范围内，日本没有商店披露受到该漏洞影响。
如果注入的脚本被放置在结账页面上，购物者输入的卡片数据可能会暴露。处理卡片数据的商店所遵循的标准是 PCI DSS，关于恶意脚本如何在页面上运行，可参阅 XSS（跨站脚本） 的解说。
本站观点
文件上传漏洞的显著特点是，修复之后损害仍会持续。如果在修复之前就已被植入，被植入的文件和注入的页面代码会一直存在。本案中，该漏洞是在 Adobe 发布修复三个半月后才被收录到 KEV 的。已应用 7 月修复的商店也还没有结束：需要检查应用修复日期之前的入侵情况。
对于 Magento，需要检查的地方基本是固定的：上传文件夹、cms_block 和 cms_page，以及 admin_user。委托维护公司检查时，明确指出这三处并要求提供结果，有助于避免遗漏。针对文件上传漏洞的一般防御措施，请参阅文件上传漏洞。
尚不清楚的事项
| 项目 | 状态 |
|---|---|
| Adobe 对被利用情况的确认 | 公告（8月11日更新）仍表示 Adobe 未发现 |
| 被利用的规模 | CISA 未公布细节。数字仅来自一家电子商务安全公司的报告 |
| PolyShell 是否就是该 CVE | 基于该公司的报告。Adobe 未提及该名称 |
| 2.4.9 的状态 | 在 Adobe 的表格中为受影响。该公司称 2.4.9 已包含修复（请遵循 Adobe 的表格） |
| 日本的受害者 | 未有披露 |
来源
均于2026年10月28日查看。
- Adobe，"Security update available for Adobe Commerce | APSB26-73"（2026年7月14日发布，8月11日更新）— adobe.com
- Adobe，"Security update available for Adobe Commerce - APSB26-73"（发行说明，KA-37421）— experienceleague.adobe.com
- CISA，"CISA Adds Two Known Exploited Vulnerabilities to Catalog"（2026年10月27日）— cisa.gov
- CISA，"Known Exploited Vulnerabilities Catalog"（截至2026年10月27日版本的数据）— cisa.gov
- NVD，"CVE-2026-48356" — nvd.nist.gov
- 一家电子商务安全公司的报告（2026年10月24日，包括如何查找入侵痕迹）— sansec.io
- 同一公司的 PolyShell 分析（2026年3月17日发布，包括临时措施）— sansec.io / 其关于 3 月大规模攻击的报告（2026年3月30日）— sansec.io
- JPCERT/CC，2026 年警报列表（日文）— jpcert.or.jp
更新历史
2026-10-28：首个版本，基于 Adobe、CISA 和 NVD 的公开信息以及一家电子商务安全公司的报告。
延伸阅读
- 防御这类漏洞：文件上传漏洞：防止 Web Shell 和 RCE
- 恶意脚本如何在页面上运行：什么是 XSS（跨站脚本）
- 决定优先级：决定先修补什么：CVSS、EPSS 与 KEV
- 漏洞公布时：CVE 修复手册
- 同一天加入 KEV：Brotli 漏洞 CVE-2026-111497
- 术语：什么是后门 / 什么是 PCI DSS / 什么是 CVSS