這是一篇針對已確認被實際利用（收錄於 CISA KEV）漏洞的速報解析。本文以防禦視角、隱去攻擊的重現步驟，梳理會發生什麼、影響範圍與對策。
- CVE
- CVE-2026-45247
- 嚴重度
- Critical（CVSS 9.3 / v4.0）
- 類別
- PHP 物件注入（對不可信資料進行反序列化・CWE-502）
- 影響
- 無需認證即可遠端程式碼執行（RCE）
- 對象
- Mirasvit Full Page Cache Warmer for Magento 2 — 1.11.12 之前的版本
- 首選對策
- 更新到 1.11.12 及以上
放任不管的危險程度
由於無需認證即可導致 RCE，它是自動化大規模掃描的首要目標（正因如此才被收錄進 KEV）。「我們站點很小不會被盯上」並不成立。掃描器會機械地把整個網際網路掃一遍。
這是什麼樣的漏洞（PHP 物件注入）
PHP 中有把資料轉成字串的 serialize，以及把它還原的 unserialize。如果把不可信輸入直接 unserialize，攻擊者就能傳入「一旦被還原就會引發不良副作用的物件」。在還原的過程中（魔術方法等），本不應執行的處理被連鎖觸發，最終一路到達程式碼執行。這就是 PHP 物件注入（CWE-502）。
✗ 還原不可信輸入
外部輸入 → 用 unserialize 還原為物件 → 還原處理連鎖觸發 → 程式碼執行
✓ 當作值來處理
外部輸入只用 JSON 等作為資料來接收 → 不還原成物件
本次的對象是 Magento 2 的快取加速擴充套件。攻擊者無需經過認證即可到達，CVSS 被評為 9.3，屬於最嚴重的等級。
影響範圍
| 項目 | 內容 |
|---|---|
| 對象擴充套件 | Mirasvit Full Page Cache Warmer for Magento 2 |
| 受影響的版本 | 早於 1.11.12 |
| 修復版本 | 1.11.12 及以上 |
| 前提條件 | 無需認證（unauthenticated） |
| 可達成的影響 | 遠端程式碼執行（RCE） |
對策
將擴充套件更新到 1.11.12 及以上（最優先）
更新前的暫時性多層防禦
確認是否已被入侵
擴充套件清點＋CVE 機器化監控
本站的觀點：在設計上就不對不可信資料進行反序列化
這類漏洞反覆出現，原因是「因為方便，就把外部輸入直接還原了」。本站的立場很明確，即不要製造出對不可信資料執行 unserialize 的場景。外部輸入要用 json_decode 等僅作為資料來接收，不用於還原物件。這樣一來，這一類漏洞在設計上就不會發生。
接著閱讀
- 術語：什麼是 RCE（遠端程式碼執行） / 什麼是 CVE / 什麼是 CVSS
- 速報一覽：漏洞速報
來源與確認範圍
以下原始資料支持上文的設定、影響範圍或應對措施，連結於2026年10月23日確認。請核對資料中的版本與設定條件。清單優先順序及經驗是本站的整理，不代表全文重新核驗或安全保證。