Magento 滿分漏洞毋須登入 Adobe 只給網店 30 日

Adobe 修補 CVSS 滿分漏洞，卻給網店 30 日時間

Adobe 10 月 13 日發布安全公告 APSB26-153，修補 Adobe Commerce 和開源版 Magento 合共 11 個漏洞，當中最嚴重的 CVE-2026-103849 獲評 CVSS 10.0 滿分。CVSS 是業界衡量漏洞嚴重程度的通用評分，10 分為最高。據公告，攻擊者毋須登入、毋須任何用戶操作，就能利用電郵範本引擎的缺陷，在網店伺服器上執行任意程式碼。

電子商貿保安公司 Sansec 把漏洞命名為 BlockStrap，發現者是研究員 vozec。受影響版本如下：

Adobe 表示，未知悉有攻擊者在現實環境中利用公告內任何一個漏洞，因此只把修補評為第 2 級優先，即建議網店在 30 日內完成更新。

Sansec：一天內重現四條攻擊路徑

據 Sansec 10 月 15 日發表的分析，團隊在修補推出後 24 小時內，已重現四條不同的程式碼執行路徑。Sansec 指，攻擊路徑雖然複雜，但「任何有 AI 代理的人」都能把修補程式反向拆解成可用的攻擊工具，因此質疑 Adobe 的第 2 級評級，呼籲商戶「召回休假中的團隊，今日就開始修補」。

Sansec 截至 10 月 15 日未發現真實網店遭 BlockStrap 攻擊。據它在 Magento 社群 Slack 引述 Adobe 的說法，第 1 級優先只留給已知正被利用的漏洞。

六星期內第二個滿分漏洞

BlockStrap 是 Magento 電郵範本引擎六星期內第二個 CVSS 10.0 漏洞。上一個 CVE-2026-75650 由 Sansec 命名為 StyleSmuggler，據 Sansec 記錄，攻擊在 9 月 4 日已經開始，Adobe 到 9 月 7 日才發出緊急修補。據 Wiz 漏洞資料庫，美國網絡安全及基礎設施安全局（CISA）其後把它列入已知被利用漏洞目錄，攻擊者曾在網店植入後門。

Sansec 指，BlockStrap 正是繞過 9 月修補的同類攻擊：9 月的修補會為可信的範本指令簽名，但攻擊者放在子範本內的資料仍可被一併簽名，再在上層被執行。

網店需要做甚麼

兩個修補互相獨立，網店必須同時安裝 9 月的 StyleSmuggler 熱修補和 10 月的 BlockStrap 修補。Sansec 提醒，以 Composer 全新安裝的網店仍然是有漏洞的舊版本。開源版 Magento 2.4.6 或更舊版本沒有公開修補，用戶要升級到 2.4.7-p10 或以上。

來源

• Security update available for Adobe Commerce | APSB26-153（Adobe 安全公告）
• BlockStrap: Magento and Adobe Commerce RCE (CVE-2026-103849)（Sansec，研究原文）
• CVE-2026-75650 Impact, Exploitability, and Mitigation Steps（Wiz，9 月 StyleSmuggler 漏洞資料）