一個人在筆電前拿著信用卡網購 — 示意圖。Shixart1985 攝，CC BY 2.0，Wikimedia Commons。

資安Adobe電商CISA KEV

Magento 購物網站上傳漏洞 PolyShell 已遭利用，CISA 10 月 27 日列入 KEV：Adobe 7 月 14 日就出了修補，沒裝的商店還在範圍內

趨勢新聞2026 年 10 月 28 日

Magento 是一套開網路商店用的軟體，商品頁、購物車、結帳都由它產生；Adobe 收購後推出商用版 Adobe Commerce，免費版叫 Magento Open Source。它有一個檔案上傳漏洞 CVE-2026-48356，資安公司 Sansec 取名 PolyShell：攻擊者把程式偽裝成圖片傳上商店主機，之後可能在主機上執行程式，或在商店網頁裡塞進一段會在顧客瀏覽器執行的程式碼。美國網路安全暨基礎設施安全局（CISA）10 月 27 日（美國時間）把它列入「已知遭利用漏洞」（KEV）目錄。Adobe 7 月 14 日已在安全公告 APSB26-73 提供修補，沒裝上的商店才在範圍內。本站的讀法：這和 WordPress 網站拖著不更新、被人從漏洞闖進來是同一種維護風險，但漏洞在 Magento 自己的程式裡，跟 WordPress 外掛無關；用 Shopify、WordPress 加 WooCommerce 等其他系統開店的，不受這個漏洞影響。

依 APSB26-73，修補後的版本是 Adobe Commerce 2.4.4 到 2.4.9、Magento Open Source 2.4.6 到 2.4.9 各支線的 -2026-jul 版，B2B 模組各支線的 -2026-jul 版，以及 Adobe Commerce Events 1.21.0；Adobe 也替 2.4.9、2.4.8-p5、2.4.7-p10 等各支線最新的 -p 版提供單獨的修補檔：要先升到所在支線最新的 -p 版，依裝了哪些元件選檔、照官方順序套，套完用 Adobe 的 Commerce Version Tool 確認；雲端版的修補已含在 cloud-patches 更新裡，重複套用可能失敗。CISA 在 KEV 條目寫，這個漏洞「可能導致以當前使用者的權限執行任意程式碼，進而可能取得受害者帳號或工作階段（session）的更高權限或控制權」（本站譯）。KEV 的處理期限是 11 月 10 日，依 CISA 的 BOD 26-04 指令，只約束美國聯邦文職機關；勒索軟體欄寫「未知」。Adobe 的公告最後更新是 8 月 11 日，當時仍寫未知有在野利用。

攻擊者進來之後做了什麼

Sansec 3 月 17 日公開警告時寫，PolyShell「讓未經身分驗證的攻擊者把可執行的檔案上傳到任何一家商店」（本站譯）。入口是購物車的商品客製選項，原本給顧客附檔案用，例如印刷品上傳圖片；但 Magento 不會確認商品是否真的有附檔選項，所以店家沒開這個功能也不能排除。收檔時它只檢查開頭像不像圖片，不擋 .php 這類程式檔，訪客購物車的介面又不必登入。檔案能不能在主機上執行，要看網頁伺服器的設定，Sansec 寫許多商店用的是主機商的自訂設定。

依 Sansec 的時間線，3 月 19 日開始有人實際攻擊，Adobe 5 月 12 日先在新版 2.4.9 修好，仍受支援的舊支線等到 7 月 14 日才拿到修補。Sansec 3 月 30 日的統計是，3 月 16 日起，它的防護產品所保護的 Magento 商店有 79.5% 遭到 PolyShell 攻擊嘗試（這是當時的數字，也不是全球商店的受害比例）；3 月 30 日一小時內，有 471 家不是它客戶的商店被放進同一段程式碼。這段程式碼會記下訪客從哪裡來、看哪一頁，再向攻擊者的伺服器拿下一步要執行的內容。Sansec 10 月 24 日追蹤同一個集團，自 2025 年 7 月起換了五個主要網域，累計在 953 家商店看到它的程式碼，多數是 Magento；這是累計觀察數，不能據此認定 953 家全部經由 PolyShell 入侵。它記錄到的內容之一，是讓一位已登入顧客的瀏覽器載入一個拼法近似加密貨幣錢包品牌 Ledger 的網域上的程式；最新版本最後送出什麼，Sansec 寫還沒捕捉到。以上數字都來自 Sansec 自己的掃描與客戶，Sansec 同時販售防護產品。

評分、攻擊條件與版本紀錄

一是評分。Adobe 公告給 CVSS 9.6 分（滿分 10），NVD 收錄的紀錄是 9.3 分，差在「可用性影響」一項的設定。兩份紀錄都寫攻擊者不需要身分驗證，也都把「需要使用者互動」設為必要；NVD 收錄的說明寫「受害者必須造訪惡意設計的網址，或與遭入侵的網頁互動」（本站譯）。這兩個條件可以同時成立，和 Sansec 說的「不必登入就能上傳」不衝突。二是 2.4.9，這是官方和 Sansec 對不上的地方：Sansec 寫 5 月 12 日的 2.4.9 已含修補，Adobe 公告把未加後綴的 2.4.9 也列為受影響。本站以 Adobe 為準。另外，Magento Open Source 2.4.5 及更舊版本不在修補清單上，Sansec 寫這段程式碼從 Magento 2 第一版就存在。

台灣的店家與消費者

本站沒有台灣受害商店的數字。本站的讀法：台灣的 Magento 購物網站或外銷官網，只要還在跑受影響又沒修補的版本，就要處理這個風險，實際後果看伺服器設定與是否已被入侵。Sansec 提醒，刪掉網頁裡的惡意程式碼，並不會讓攻擊者失去寫入資料庫的能力。它建議清查 pub/media/custom_options/ 與 pub/media/customer_address/ 裡的檔案、全站搜尋名為 accesson.php 的後門、資料庫 cms_block 與 cms_page 裡的可疑程式碼、不認得的後台管理員帳號與陌生的執行程序，清完再改資料庫、後台與 API 串接的密碼，並裝上 APSB26-73 與另一個已遭利用漏洞 SessionReaper 的修補 APSB25-88。還沒能更新的，Sansec 寫只封鎖上傳資料夾的網頁存取擋不住上傳本身，要用網站防火牆（WAF）擋下那支 API 呼叫。

在台灣，數位發展部的《數位經濟相關產業個人資料檔案安全維護管理辦法》涵蓋網路零售業：個資安全事故危及正常營運或大量當事人權益的，業者要在知悉後 72 小時內通報數位部，或通報縣市政府並副知數位部；另外要適時通知當事人事故與處理情形。消費者端，本站的讀法（一般防範，不是 Sansec 在本案看到的畫面）：購物網站要你輸入與交易無關的資料，例如錢包助記詞，就先停下來向店家確認，並留意信用卡帳單。本站 9 月報過 Adobe Commerce 另一個可以切換顧客帳號的漏洞 CVE-2026-71362，修補在 8 月的 -2026-aug 版，兩次都要裝；用單獨修補檔的，Adobe 寫 8 月的要疊在 7 月的上面，先 7 月、再 8 月。

原文 CISA 警示〈CISA Adds Two Known Exploited Vulnerabilities to Catalog〉（2026-10-27），列入日期與 BOD 26-04 適用範圍取自此頁； KEV 條目 CVE-2026-48356，漏洞說明、處理期限與勒索軟體欄取自 CISA 的 KEV JSON 資料檔（2026-10-27 版）； Adobe 安全公告 APSB26-73（2026-07-14，更新 2026-08-11），受影響與修補版本、CVSS 9.6 與「未知有在野利用」取自此頁； Adobe 知識庫 ka-37421，單獨修補檔的前提、雲端版與 Commerce Version Tool 取自此頁；ka-40380，7 月與 8 月修補檔的先後順序取自此頁； NVD 的 CVE-2026-48356 紀錄（透過 NVD API 讀取），CVSS 9.3 與「需要使用者互動」的說明取自此處； Sansec〈PolyShell: unrestricted file upload in Magento and Adobe Commerce〉（2026-03-17 起陸續更新），漏洞機制、79.5%、WAF 建議與攻擊、修補時間線取自此頁； Sansec〈Mass PolyShell attack wave hits 471 stores in one hour〉（2026-03-30），471 家與植入的程式碼行為取自此頁； Sansec〈deepveindrilling.com: Magento CMS block loader hits 953 stores〉（2026-10-24），953 家、五個主要網域、Ledger 仿冒網域與清查步驟取自此頁；全國法規資料庫《數位經濟相關產業個人資料檔案安全維護管理辦法》（2023-10-12 發布）第 8 條與附表一，72 小時通報、通知當事人與適用行業取自此處。