CVE-2026-71362 — Adobe Commerce 與 Magento 未驗證權限提升漏洞（解說與修補）

確認商店所屬系列與修補層級，接著更新到該系列的 2026-aug 版本，並確認執行中的版本已變更。若你有多個環境（正式站、測試站、舊的備用前台），所有可從網際網路連線的環境都在範圍內。最容易被忘記的舊商店，也最不容易被修補（安全資產盤點清單）。

2.4.4 之前的系列沒有修補版本。遷移需要時間，因此在此期間請限制誰能連到管理後台與 API 入口，並啟用 WAF 防護，以減少能觸及你的對象。這能暫時降低風險，但無法修補漏洞；只有遷移才能根本解決。

若商店在 8 月 11 日之後的任何時間未修補，請將該期間視為可疑；CISA 也將此 CVE 列為需要鑑識分析。至少應檢查：(1) 管理員帳號——任何你不認得的帳號，或權限被更動的帳號。(2) 整合與 API 權杖——任何你未建立的權杖，或近期核發的權杖。(3) 檔案與設定——特別是結帳頁面載入的腳本，以及可從管理後台編輯的 HTML 與設定（在電子商務入侵案件中，植入竊取付款資料的腳本是常見目的）。(4) 日誌——來自不尋常來源、在不尋常時段或以不尋常頻率存取管理或 API 功能的紀錄。

若無法排除入侵的可能，請輪換管理員密碼、整合權杖，以及付款與外部 API 的金鑰，並使所有工作階段失效。修補可以關閉漏洞，但無法撤銷已遭竊取的憑證或金鑰。修補漏洞與清除入侵者是兩項不同的工作。完整流程請參閱漏洞修補手冊。

如同本案例，發布時被認為不急的更新，之後可能變得緊急。請設定通知，以便在有項目列入 KEV 時收到提醒（本站的漏洞警示是其中一種方式），或在定期更新週期之外套用資安更新。