更新時間：2026/10/29 15:26:14
發佈時間：2026/10/29 15:26:14
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明[1]
Adobe針對Adobe Commerce及Magento Open Source發布安全性更新，修補多項重大及高風險漏洞。成功利用上述漏洞可能導致任意程式碼執行、權限提升或安全機制繞過。
二、已揭露攻擊活動說明
1. 資安業者Sansec指出，攻擊者於2026年3月利用CVE-2026-48356（PolyShell）上傳Webshell，並在1小時內向471家Magento商店植入惡意JavaScript載入程式；同年10月發現該攻擊活動使用具備瀏覽器指紋辨識功能的新版載入程式。[2]
2. CISA已將CVE-2026-48356納入漏洞利用清單。[3]
三、F-ISAC彙整Sansec所提供入侵威脅指標如附檔。
四、SSVC漏洞處置決策方法
1.CVE-2026-48356
利用狀況（Exploitation）：已遭實際利用（Active）
可否自動化利用（Automatable）：否（No）
技術影響（Technical Impact）：完全控制（Total）
2.CVE-2026-48358、CVE-2026-47994、CVE-2026-47995、CVE-2026-47992
利用狀況（Exploitation）：未發現利用（None）
可否自動化利用（Automatable）：否（No）
技術影響（Technical Impact）：完全控制（Total）
3.CVE-2026-47988、CVE-2026-47984
利用狀況（Exploitation）：未發現利用（None）
可否自動化利用（Automatable）：是（Yes）
技術影響（Technical Impact）：部分控制（Partial）
4.CVE-2026-47996
利用狀況（Exploitation）：未發現利用（None）
可否自動化利用（Automatable）：否（No）
技術影響（Technical Impact）：部分控制（Partial）
▶ 漏洞資訊
⌵
名稱：
CVE-2026-48356、CVE-2026-48358、CVE-2026-47994、CVE-2026-47988、CVE-2026-47984、CVE-2026-47995、CVE-2026-47996、CVE-2026-47992
描述：
使用版本：CVSS 3.1
分析分數：9.6、9.1、8.7、8.6、8.2、8.1、7.6、7.2
參考來源：Adobe
▶ 影響平台
⌵
影響平台-系統：
1. Adobe Commerce
(1)2.4.9版本，建議更新至2.4.9-2026-jul或以上版本。
(2)2.4.8-p5及更早版本，建議更新至2.4.8-2026-jul或以上版本。
(3)2.4.7-p10及更早版本，建議更新至2.4.7-2026-jul或以上版本。
(4)2.4.6-p15及更早版本，建議更新至2.4.6-2026-jul或以上版本。
(5)2.4.5-p17及更早版本，建議更新至2.4.5-2026-jul或以上版本。
(6)2.4.4-p18及更早版本，建議更新至2.4.4-2026-jul或以上版本。
2. Adobe Commerce B2B
(1)1.5.3版本，建議更新至1.5.3-2026-jul或以上版本。
(2)1.5.2-p5及更早版本，建議更新至1.5.2-2026-jul或以上版本。
(3)1.4.2-p10及更早版本，建議更新至1.4.2-2026-jul或以上版本。
(4)1.3.4-p17及更早版本，建議更新至1.3.4-2026-jul或以上版本。
(5)1.3.3-p18及更早版本，建議更新至1.3.3-2026-jul或以上版本。
3. Magento Open Source
(1)2.4.9版本，建議更新至2.4.9-2026-jul或以上版本。
(2)2.4.8-p5及更早版本，建議更新至2.4.8-2026-jul或以上版本。
(3)2.4.7-p10及更早版本，建議更新至2.4.7-2026-jul或以上版本。
(4)2.4.6-p15及更早版本，建議更新至2.4.6-2026-jul或以上版本。
4. Adobe Commerce Events
(1) 1.6.0至1.20.0版本，建議更新至1.21.0或以上版本。
▶ 建議措施
⌵
1. 官方已發布修補程式，建議會員依據單位內漏洞管理機制進行相關作業。
2. 本次公告漏洞之修補已包含於Adobe於2026年7月14日發布之安全性更新（APSB26-73）中，已完成該次安全性更新之單位無須重複更新；惟Adobe Commerce Events未涵蓋於本中心9月發布之漏洞公告，建議使用該產品之單位另行確認修補情形。
3. 建議會員檢視Magento網站是否存在非預期的CMS區塊內容、異常上傳檔案、未經授權建立的管理員帳號或後門程式，並依據單位內資安事件應變程序進行處置。
4. 建議會員可透過單位內設備觀察是否曾有對這些（可疑）網域之連線紀錄，進行分析及風險評估（建議確認連線請求者是否為正常或合法的連線），並依照既有防護設備採取對應防護措施。建議會員可定期檢視入侵威脅指標之觸發情形，如長時間未觸發，則可評估移除或調整處理方式（例如由封鎖轉為監控）。另可依自身需求及不同類型入侵威脅指標之時效性差異評估檢視頻率，例如IP位址、網域名稱、URL及E-mail等通常變動較快，可每1至3個月重新檢視一次；而檔案雜湊值（Hash）等檔案特徵型指標相對穩定，通常不易因時間經過而改變其惡意特性，故可適度延長保留期限。
▶ IoC資料欄位
⌵
| 類別 | 內容 |
|---|---|
| URL | https://additionalver.com/Mb2z8J |
| URL | https://c85grt98sd.com/1kYrdH |
| URL | https://crypto-insider.top/ssl/ |
| URL | https://deepveindrilling.com/?s=49b7ca5f&fp= |
| URL | https://deepveindrilling.com/?s=d35c5031 |
| URL | https://hdfdsi84j3h.top/sFnnPFHm |
| URL | https://lanhd6549tdhse.top/KZtBscgb |
| URL | https://leqdger.click/ssl/ |
| URL | https://manulfie.click/GKTD8cBz |
| URL | https://neswnsssn.click/PKgJDPfF |
▶ 參考資訊
⌵
| 編號 | 網址 | 說明 |
|---|---|---|
| 1 | https://www.adobe.com/trust/security/products/commerce/apsb26-73.html | Adobe（安全公告） |
| 2 | https://sansec.io/research/magento-cms-block-loader-deepveindrilling | Sansec（攻擊活動分析及IOC） |
| 3 | https://www.cisa.gov/known-exploited-vulnerabilities-catalog | CISA |
情資編號：
FISAC-200-202610-0020
系統目錄：
資安漏洞
資安類別：
漏洞公告 /
影響等級：
3
關鍵字：
弱點漏洞