本文適用對象：在 Adobe Commerce（原 Magento Commerce）或 Magento Open Source 上經營網路商店的企業、負責建置與維護這些商店的代理商，以及主機服務商。本文根據 Adobe、CISA 與 NVD 的公開資訊以及一家電子商務資安公司的報告撰寫，不涵蓋攻擊步驟或利用程式碼。
發展中：隨著更多資訊公布，本頁將持續更新
截至2026年10月28日（日本時間）尚不清楚
- Adobe 對遭利用情況的確認（公告仍表示未察覺）
- 日本公家機關的警訊（JPCERT/CC 與 IPA 均未發布）
- 日本商店中的受害者（未有公布）
CISA 於10月27日將此漏洞加入 KEV。Adobe 的修補於7月14日發布。遭利用的細節來自一家電子商務資安公司的報告，Adobe 尚未確認。有新公告時，我們將更新本文。
今天要做的事
檢查版本以及是否已套用修補
在商店伺服器上執行 bin/magento --version 檢查版本。7 月的修補以獨立修補程式的形式發布，套用在各版本線最新的安全版本（例如 2.4.7-p10）之上。要確認是否已套用，在 Adobe 代管的環境中使用 Quality Patches Tool（vendor/bin/magento-patches -n status），在其他環境中使用隨修補附帶的 Commerce Version Tool（套用 CE 修補程式後可用）（Adobe 的版本說明）。如果商店由代理商或維護公司經營，請向他們詢問這兩點。
套用修補
Adobe 的程序是先升級到所屬版本線的最新安全版本（-p 版本）（2.4.9 維持不變），再套用 7 月的修補。修補程式不是累積式的，請依序套用。如果使用 Adobe Commerce Events 模組，請將其更新至 1.21.0 或更新版本。對於 Adobe 代管的環境（Adobe Commerce on cloud infrastructure），Adobe 表示最新的 Magento Cloud Patches 版本已修正此問題，並警告在其之上再套用獨立修補程式可能導致安裝失敗。請遵循 Adobe 的指引。
檢查上傳資料夾
該電子商務資安公司報告指出，Web Shell 被放置在 pub/media/custom_options/（尤其是其下的 quote 資料夾）中，並建議同時檢查 pub/media/customer_address/。請尋找偽裝成圖片名稱的檔案，以及 .php、.phtml 或 .phar 等可執行檔案。這些資料夾通常存放顧客隨訂單附加的檔案等內容。
檢查 CMS 區塊、CMS 頁面與管理員帳號
在資料庫中，檢查 cms_block 與 cms_page 資料表中是否有你沒有加入的 <script> 標籤，以及最近被變更的項目（update_time）。該公司的報告列出了要搜尋的字串。檢查 admin_user 中是否有你不認識的帳號，並檢查伺服器上是否有陌生的執行中程序。
如果發現跡象，先清除再變更憑證
移除惡意檔案與指令碼後，變更管理員帳號、資料庫與 API 整合的密碼及權杖。只移除指令碼會留下攻擊者的回頭途徑（Web Shell 或管理員帳號）。如果結帳頁面遭到更動，請聯絡發卡公司與金流服務商。
無法立即套用修補時的暫時措施（它們無法阻止攻擊）
該公司建議設定 Web 伺服器，拒絕對 pub/media/custom_options/ 的 Web 存取，並禁止在其中執行 PHP。這可以防止上傳的檔案被從外部執行，但無法阻止檔案被上傳。該公司表示，需要 WAF（檢查 Web 應用程式流量的系統）規則來封鎖上傳請求本身。兩者都只是在套用修補前的權宜之計。
受影響版本與修補版本
| 產品 | 受影響 | 修補（Adobe 的寫法） |
|---|---|---|
| Adobe Commerce | 2.4.9、2.4.8-p5 及更早、2.4.7-p10 及更早、2.4.6-p15 及更早、2.4.5-p17 及更早、2.4.4-p18 及更早 | 2.4.9、2.4.8、2.4.7、2.4.6、2.4.5、2.4.4 各自的 2026-jul |
| Adobe Commerce B2B | 1.5.3、1.5.2-p5 及更早、1.4.2-p10 及更早、1.3.4-p17 及更早、1.3.3-p18 及更早 | 1.5.3、1.5.2、1.4.2、1.3.4、1.3.3 各自的 2026-jul |
| Magento Open Source | 2.4.9、2.4.8-p5 及更早、2.4.7-p10 及更早、2.4.6-p15 及更早 | 2.4.9、2.4.8、2.4.7、2.4.6 各自的 2026-jul |
| Adobe Commerce Events | 1.6.0 至 1.20.0 | 1.21.0 |
「2026-jul」不是新的版本號。它指的是各版本線最新的安全版本再套用 7 月的獨立修補程式。在 Adobe 的版本說明中，修補檔依目標版本區分，例如「2-4-7-p10-jul-2026.zip」。Magento Open Source 使用者只能直接下載 2.4.6 及之後版本的修補程式。
Adobe 的表格也將 2.4.9 列為受影響。該電子商務資安公司寫道 2.4.9 已包含此漏洞的修正，但該公告涵蓋同一天修補的 14 個漏洞。我們建議遵循 Adobe 的表格，在 2.4.9 上也套用 7 月的修補。
允許上傳檔案的漏洞（入口）
由 7 月的修補（2026-jul）修正
被植入的 Web Shell
修補不會清除。檢查上傳資料夾
注入頁面的指令碼
修補不會清除。檢查 cms_block 與 cms_page
新增的管理員及可能外洩的憑證
修補不會清除。檢查 admin_user 並變更憑證
已揭露的內容
- CVE
- CVE-2026-48356（Adobe 安全公告 APSB26-73）
- 類型
- 不受限制地上傳危險類型的檔案（CWE-434）。Adobe 將影響列為權限提升，嚴重程度為嚴重，並表示不需要身分驗證
- 嚴重程度
- Adobe 公告表格中為 CVSS v3.1 9.6（AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L）。Adobe 在 CVE 紀錄中登錄的值與 NVD 的分數為 9.3（除 A:N 外完全相同）
- 影響（CVE 描述）
- 在目前使用者的情境中執行任意程式碼，可能接管受害者的帳號或工作階段。描述指出，利用需要受害者開啟特製的 URL 或與遭入侵的頁面互動
- 修補
- 2026年7月14日發布（8月11日更新）。同一公告修補了 14 個漏洞，其中只有這一個被收錄到 KEV。Adobe 的優先等級為 2（三個等級中的中間等級）
- 遭利用情況（Adobe）
- Adobe 表示未察覺遭利用的情況（截至10月28日的公告內容）
- 遭利用情況（CISA）
- 2026年10月27日加入 KEV。美國聯邦民事機構（FCEB）的期限為11月10日。是否被用於勒索軟體攻擊為「Unknown」（未知）。NVD 中 CISA 的 SSVC 評估將利用狀況評為「active」（活躍）
兩個 CVSS 值的差異僅在於可用性影響（A）是「低」還是「無」。兩者都在 10 分制的 9 分區間，屬於嚴重等級，優先順序不變。CVE 描述指出需要使用者互動（UI:R），但下文所述該公司 3 月的分析表示不需登入即可上傳檔案。相較於分數的細節，我們更重視 KEV 收錄（本站觀點）。
CISA 同一天加入 KEV 的另一個漏洞是 Brotli 壓縮格式中的漏洞（CVE-2026-111497）。日本的組織不受美國期限約束，但 CISA 鼓勵所有組織優先修補 KEV 漏洞。
攻擊報告（一家電子商務資安公司的研究）
以下內容來自一家專門調查遭入侵網路商店的資安公司。Adobe 尚未確認。
2026年3月17日
該公司揭露了 Magento 與 Adobe Commerce 中的一個檔案上傳漏洞，並將其命名為「PolyShell」。該公司表示，當時修正只存在於預先發布版本（2.4.9 預先發布版）中2026年3月30日
同一公司報告了一起利用 PolyShell 的大規模攻擊，1 小時內有 471 家商店遭入侵（該報告未提供 CVE 編號）2026年7月14日
Adobe 發布 APSB26-73，為各個受支援的版本線提供修補2026年10月24日
該公司報告指出，透過 PolyShell（CVE-2026-48356）以及 SessionReaper 等其他漏洞植入的 Web Shell 被用來向商店頁面注入 JavaScript，自2025年7月以來此攻擊活動共波及 953 家商店，大多為 Magento2026年10月27日
CISA 將此漏洞加入 KEV
根據10月24日的報告，攻擊者在植入 Web Shell 後，向資料庫資料表 cms_block（商店頁面上顯示的區塊）注入了 JavaScript。該指令碼會從外部網站載入程式碼，針對每位造訪者回傳重新導向或進一步的程式碼。這 953 家商店大多是 Magento 商店，其中也包括透過另一個漏洞（SessionReaper，CVE-2025-54236）遭入侵的商店。
報告指出，注入的程式碼也出現在已修補的商店中。報告舉出一家執行 2.4.7-p10、沒有缺少任何核心修補程式的商店作為例子。報告也表示，刪除指令碼並不能清除攻擊者的存取權。報告並未說明該存取權是來自先前植入的 Web Shell 還是其他途徑。
如果該公司所稱的 PolyShell 與 CVE-2026-48356 相同，那麼 3 月的大規模攻擊發生在 Adobe 於 7 月為受支援版本線發布修補之前（本站推論；Adobe 尚未確認遭利用）。如果你的商店在 7 月之前就已營運，追溯到 3 月檢查痕跡會比較保險。
日本的狀況
截至10月28日，JPCERT/CC 與 IPA 尚未針對此漏洞發布警訊。在我們查證的範圍內，日本沒有商店公布受到此漏洞影響。
如果注入的指令碼被放置在結帳頁面上，購物者輸入的卡片資料可能會外洩。處理卡片資料的商店所遵循的標準是 PCI DSS，關於惡意指令碼如何在頁面上執行，可參閱 XSS（跨網站指令碼） 的說明。
本站觀點
檔案上傳漏洞的顯著特點是，修補之後損害仍會持續。如果在修補之前就已被植入，被植入的檔案與注入的頁面程式碼會一直留存。本案中，此漏洞是在 Adobe 發布修補三個半月後才被收錄到 KEV。已套用 7 月修補的商店也還沒有結束：需要檢查套用修補日期之前的入侵情況。
對於 Magento，需要檢查的地方大致固定：上傳資料夾、cms_block 與 cms_page，以及 admin_user。委託維護公司檢查時，明確指出這三處並要求提供結果，有助於避免遺漏。針對檔案上傳漏洞的一般防禦措施，請參閱檔案上傳漏洞。
尚不清楚的事項
| 項目 | 狀態 |
|---|---|
| Adobe 對遭利用情況的確認 | 公告（8月11日更新）仍表示 Adobe 未察覺 |
| 遭利用的規模 | CISA 未公布細節。數字僅來自一家電子商務資安公司的報告 |
| PolyShell 是否就是此 CVE | 根據該公司的報告。Adobe 未提及此名稱 |
| 2.4.9 的狀態 | 在 Adobe 的表格中為受影響。該公司表示 2.4.9 已包含修正（請遵循 Adobe 的表格） |
| 日本的受害者 | 未有公布 |
來源
均於2026年10月28日查閱。
- Adobe，"Security update available for Adobe Commerce | APSB26-73"（2026年7月14日發布，8月11日更新）— adobe.com
- Adobe，"Security update available for Adobe Commerce - APSB26-73"（版本說明，KA-37421）— experienceleague.adobe.com
- CISA，"CISA Adds Two Known Exploited Vulnerabilities to Catalog"（2026年10月27日）— cisa.gov
- CISA，"Known Exploited Vulnerabilities Catalog"（截至2026年10月27日版本的資料）— cisa.gov
- NVD，"CVE-2026-48356" — nvd.nist.gov
- 一家電子商務資安公司的報告（2026年10月24日，包括如何尋找入侵痕跡）— sansec.io
- 同一公司的 PolyShell 分析（2026年3月17日發布，包括暫時措施）— sansec.io / 其關於 3 月大規模攻擊的報告（2026年3月30日）— sansec.io
- JPCERT/CC，2026 年警訊列表（日文）— jpcert.or.jp
更新紀錄
2026-10-28：首版，根據 Adobe、CISA 與 NVD 的公開資訊以及一家電子商務資安公司的報告撰寫。
延伸閱讀
- 防禦這類漏洞：檔案上傳漏洞：防止 Web Shell 與 RCE
- 惡意指令碼如何在頁面上執行：什麼是 XSS（跨網站指令碼）
- 決定優先順序：決定先修補什麼：CVSS、EPSS 與 KEV
- 漏洞公布時：CVE 修補手冊
- 同一天加入 KEV：Brotli 漏洞 CVE-2026-111497
- 術語：什麼是後門 / 什麼是 PCI DSS / 什麼是 CVSS