2026-10-28
Adobe Commerce 與 Magento 漏洞 CVE-2026-48356：CISA 確認遭利用（KEV）、7 月的修補，以及如何檢查入侵痕跡
2026年10月27日，CISA 將 Adobe Commerce 與 Magento Open Source 中的檔案上傳漏洞 CVE-2026-48356 加入已知遭利用漏洞（KEV）目錄。美國聯邦民事機構的修補期限為11月10日。Adobe 已於2026年7月14日在安全公告 APSB26-73 中修補了此漏洞以及另外 13 個漏洞。受影響的是 Adobe Commerce 2.4.4 至 2.4.9、Magento Open Source 2.4.6 至 2.4.9、Adobe Commerce B2B 與 Adobe Commerce Events。修補為各版本線的 2026-jul 安全修補（Events 為 1.21.0）。Adobe 公告中的表格將其評為 CVSS 9.6，而 Adobe 的 CVE 紀錄與 NVD 評為 9.3，唯一差異在於可用性影響。Adobe 的公告（8月11日更新）仍表示 Adobe 未察覺遭利用的情況。10月24日，一家電子商務資安公司報告指出，透過此漏洞（該公司稱之為 PolyShell）及其他漏洞放置的 Web Shell 被用來向商店頁面注入 JavaScript，自2025年7月以來此攻擊活動已波及 953 家商店（大多為 Magento），且該公司在已修補的商店中也發現了注入的程式碼。截至10月28日，日本尚無公家機關發布警訊，也沒有日本商店公布受到影響。本站的結論是：Adobe Commerce 與 Magento 商店應在今天確認已套用 7 月的修補；即使已套用，也要檢查上傳資料夾、CMS 區塊與管理員帳號是否有入侵跡象。