內文
Adobe Commerce 檔案上傳漏洞 CVE-2026-48356 已遭利用。 CISA 於 2026 年 10 月 27 日將此漏洞列入已知遭利用漏洞清單。企業應儘速核對商店、委外環境與相關模組的修補狀態，並檢視商店帳號及異常活動。
Adobe 指出此漏洞涉及危險類型檔案上傳，攻擊者不需事先登入，但漏洞利用需要使用者互動，成功利用可能造成權限提升。管理者、營運人員及顧客的權限不同，應依實際帳號及可存取資料評估影響。
Adobe 公告列 CVSS v3.1 9.6（AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L）；CVE 官方紀錄中 Adobe CNA 評分為 CVSS v3.1 9.3（AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N），可用性影響評估不同。
- 01
受影響版本
企業網站或相關模組尚未套用修補
- 02
使用者互動
攻擊者不需先登入，但漏洞利用需要使用者互動
- 03
上傳漏洞
危險類型檔案上傳缺陷可能被利用
- 04
權限風險
可能造成權限提升，影響範圍依實際帳號與權限調查
受影響版本及原廠修補
依實際產品與分支套用 Adobe 公告所列安全更新，並依原廠指引確認後續安全更新。
| 產品 | 受影響版本 | 原廠修補版本 |
|---|---|---|
| Adobe Commerce | 2.4.9；2.4.8-p5、2.4.7-p10、2.4.6-p15、2.4.5-p17、2.4.4-p18 及各分支更早版本 | 2.4.9-2026-jul、2.4.8-2026-jul、2.4.7-2026-jul、2.4.6-2026-jul、2.4.5-2026-jul、2.4.4-2026-jul |
| Adobe Commerce B2B | 1.5.3；1.5.2-p5、1.4.2-p10、1.3.4-p17、1.3.3-p18 及各分支更早版本 | 1.5.3-2026-jul、1.5.2-2026-jul、1.4.2-2026-jul、1.3.4-2026-jul、1.3.3-2026-jul |
| Magento Open Source | 2.4.9；2.4.8-p5、2.4.7-p10、2.4.6-p15 及各分支更早版本 | 2.4.9-2026-jul、2.4.8-2026-jul、2.4.7-2026-jul、2.4.6-2026-jul |
| Adobe Commerce Events | 1.6.0 至 1.20.0 | 1.21.0 |
行動建議：從外部邊界查到內部核心
- 01
- 02
- 03
保全紀錄與檢視
保存登入、網站與設定紀錄，檢視不明檔案及異動
看看能怎麼應對2項資源
TWISA 會員方案
保全紀錄與檢視
結合網站紀錄、帳號操作及告警追查異常。
- 04
- 01
資產探測與弱掃
盤點對外及內部網站、容器與版本
- 02
滲透與 API 測試
在授權範圍檢視上傳與權限控制
- 03
驗證實際阻擋
核對 WAF 請求、告警、阻擋與後端結果
- 04
攻擊模擬與複測
修補後複驗入口及業務功能，本機提權與內網風險分開驗證
盤點自行維運、委外、容器與備援環境
業務連線依授權放行，各層分別落實防護
- 01
網站入口
公開商店與管理入口
看看能怎麼應對1項資源
TWISA 會員方案
網站入口
協助檢視網站入口與防護設定。
限制管理來源限制後台存取來源，保留必要的商店服務
- 02
商店應用
Commerce、B2B、Events 與上傳功能
看看能怎麼應對1項資源
TWISA 會員方案
商店應用
以資產盤點與弱點管理確認各環境版本，安排修補與複測。
依分支更新盤點部署與容器版本，依 Adobe 指引套用修補
- 03
帳號與核心資料
管理帳號、訂單及客戶資料
看看能怎麼應對2項資源
TWISA 會員方案
帳號與核心資料
依資料位置及存取需求評估個資盤點、加密及遮罩。
收斂權限強化登入、資料存取與備份復原
各層日誌與流量，送往監控與應變流程
- 集中監控與調查關聯網站、管理登入與帳號異動紀錄，保留證據並追查異常
看看能怎麼應對2項資源
TWISA 會員方案
集中監控與調查
結合網站紀錄、帳號操作及告警追查異常。
官方來源與延伸閱讀
TWISA 會員方案
盤點並更新
以資產盤點與弱點管理確認各環境版本，安排修補與複測。
限制後台與權限
依管理者及維運身分限制可存取範圍。
保全紀錄與檢視
結合網站紀錄、帳號操作及告警追查異常。
資料保護與復原
依資料位置及存取需求評估個資盤點、加密及遮罩。
網站入口
協助檢視網站入口與防護設定。
歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。
通報更新日期：2026/10/29。產品支援與修補狀態以原廠最新資料為準。