Adobe Commerce 十月修補 11 漏洞
Adobe 為電商平台 Adobe Commerce、Adobe Commerce B2B 與 Magento Open Source 發布資安公告 APSB26-153，一次過修補 11 個漏洞：5 個屬嚴重（critical）、5 個高危、1 個中等，可能導致任意代碼執行、權限提升、任意檔案寫入及安全機制繞過。當中最突出的 CVE-2026-103849 評分達 CVSS 滿分 10.0：攻擊者毋須任何登入憑證，經網絡即可在商店伺服器上執行任意代碼。
- APSB26-153：11 個漏洞（5 嚴重、5 高危、1 中等），Adobe 列為 Priority 2
- CVE-2026-103849（CVSS 10.0）：模板引擎注入，無需認證即可 RCE，影響全部產品線
- B2B 版另有無需認證的 9.8 分 RCE（CVE-2026-92909）
- 安全公司 Sansec 命名 BlockStrap，24 小時內覆現 4 條攻擊路徑
- 10 月修補須以 Isolated patch／10 月版套用，普通 Composer 更新不會帶到
- 9 月同類漏洞 CVE-2026-75650 據報已被活躍利用，hotfix 需另行套用
- Adobe 並建議輪換加密金鑰與相關憑證
六星期內第二個滿分模板漏洞
頭號漏洞 CVE-2026-103849 出在電郵模板引擎：系統會把模板中的特殊元素二次處理，攻擊者控制的資料若在子模板中夾帶 {{block}} 指令，會在根層被重新掃描並執行。安全公司 Sansec 將其命名為 BlockStrap，並表示在 24 小時內已覆現 4 條通往代碼執行的獨立路徑。這已是六星期內同一引擎的第二個滿分漏洞：9 月的 CVE-2026-75650（Sansec 稱 StyleSmuggler）屬同一類二次注入缺陷，而且據新加坡網安機構 9 月警報，該漏洞據報已被活躍利用。10 月修補把這種重新掃描改為登記制佔位符，從根源移除注入面。
其餘漏洞與影響面
其餘 4 個嚴重漏洞：B2B 版的錯誤授權可致無需認證的代碼執行（9.8 分，僅影響 B2B）；兩個儲存型 XSS 可致權限提升（各 9.3 分，毋須登入但需要有人載入受影響內容，若管理員瀏覽即中招）；一個輸入驗證缺陷需高權限帳戶方可觸發（9.1 分）。5 個高危漏洞涵蓋儲存型 XSS 致代碼執行（8.7）、任意檔案寫入（8.7）及兩個 B2B 授權繞過。11 個漏洞中有 3 個只影響 B2B 版。受影響範圍覆蓋 Adobe Commerce 2.4.4 至 2.4.9、B2B 1.3.3 至 1.5.3 及 Magento Open Source 2.4.6 至 2.4.9 的 2026 年 9 月及更早版本。
修補有三個位要留意
第一，這次修復以 Isolated patch 形式發布，Composer 套件今個月不會同步提供，商店必須按版本套用 10 月修補或 10 月版，單純執行一般更新不會獲得修復；Adobe 官方文件同時提醒，雲端版本修復已內建於最新 cloud patches，若再重複套用 Isolated patch 反而會安裝失敗。第二，9 月的 CVE-2026-75650 hotfix 並不包含在本次修補內，Adobe 明確要求兩者都要套用，跳過 9 月修補的商店即使完成 10 月更新仍然暴露於 StyleSmuggler。第三，開源版 2.4.6 或更舊版本沒有公開修補，需要先升級至 2.4.7-p10 或以上；社群分支 Mage-OS 3.6.0 已包含修復。Adobe 亦強烈建議在補救過程中輪換加密金鑰與相關憑證。就公告所述漏洞，Adobe 表示未察覺有任何在野利用；商店可使用官方 Commerce Version Tool 檢查每個 CVE 的防護狀態。
資料來源：Adobe 安全公告 APSB26-153｜Adobe 官方修補指引
(開版為AI生成配圖，只供參考會意)
