2026-10-28
Adobe Commerce 和 Magento 漏洞 CVE-2026-48356：CISA 确认被利用（KEV）、7 月的修复，以及如何检查入侵痕迹
2026年10月27日，CISA 将 Adobe Commerce 和 Magento Open Source 中的文件上传漏洞 CVE-2026-48356 加入已知被利用漏洞（KEV）目录。美国联邦民事机构的修复期限为11月10日。Adobe 已于2026年7月14日在安全公告 APSB26-73 中修复了该漏洞以及另外 13 个漏洞。受影响的是 Adobe Commerce 2.4.4 至 2.4.9、Magento Open Source 2.4.6 至 2.4.9、Adobe Commerce B2B 和 Adobe Commerce Events。修复为各版本线的 2026-jul 安全修复（Events 为 1.21.0）。Adobe 公告中的表格将其评为 CVSS 9.6，而 Adobe 的 CVE 记录和 NVD 评为 9.3，唯一的区别在于可用性影响。Adobe 的公告（8月11日更新）仍表示 Adobe 未发现被利用的情况。10月24日，一家电子商务安全公司报告称，通过该漏洞（该公司称之为 PolyShell）及其他漏洞放置的 Web Shell 被用于向商店页面注入 JavaScript，自2025年7月以来该攻击活动已波及 953 家商店（大部分为 Magento），并且该公司在已打补丁的商店中也发现了注入的代码。截至10月28日，日本尚无公共机构发布警报，也没有日本商店披露受到影响。本站的结论是：Adobe Commerce 和 Magento 商店应在今天确认已应用 7 月的修复；即使已应用，也要检查上传文件夹、CMS 区块和管理员账户是否有入侵迹象。