先說結論：Adobe Commerce 與 Magento Open Source 的 CVE-2026-75650 不能只靠一般例行更新清單帶過。Adobe 於 2026 年 9 月 7 日發布 APSB26-146，指出此弱點可能讓未經登入的行為者在受影響安裝上執行程式，並表示已知有人在真實環境利用。CISA 於 9 月 8 日將它加入已知遭利用漏洞目錄，稱為 KEV。使用這些電商平台的單位應先盤點版本與部署位置，依 Adobe 對應版本的指引套用這項專屬 hotfix，驗證補丁已生效，再依原廠說明評估輪替加密金鑰與相關憑證。本文在 2026 年 10 月 4 日重新核對 Adobe 與 CISA 官方資料；已遭利用是官方對漏洞的觀察，不代表每個商家都已遭入侵。
背景與前因：Adobe Commerce 與 Magento Open Source 是管理商品、訂單及網站交易流程的軟體。電商網站通常長時間對外開放，平台更新涉及網站程式、擴充元件、支付整合及後端作業，因此安全修補不只要下載檔案，還要確認它在正式環境真正生效。Adobe 的 9 月 7 日公告列出受影響的 2.4.4 至 2.4.9 多個分支及 Adobe Commerce B2B 的對應版本；不同分支有不同補丁選項。CISA 的 KEV 記錄則在 9 月 8 日新增此 CVE，並給出美國聯邦機關 9 月 11 日的處置期限。這些日期是原始公告和目錄日期，不是本篇補刊的發表日，也不是期限前就可放心延後修補的保證。
原因與前置條件：Adobe 把 CVE-2026-75650 歸類為範本引擎特殊元素處理不當。範本引擎可把資料填入網頁或服務輸出；若資料與程式控制內容的界線沒有正確維持，便可能出現非預期的程式執行。Adobe 的公告明確指出，受影響安裝上的攻擊不需要先取得帳號憑證。CISA 的 KEV 目錄也將其描述為可能執行任意程式碼的漏洞。公開資料足以支持緊急修補與曝露面盤點，卻不支持在一般文章中推測攻擊字串、被入侵店家名單或每位顧客資料是否外洩；本文不提供利用方式或測試步驟。
影響範圍：Adobe 官方說明涵蓋 Adobe Commerce、Adobe Commerce B2B 與 Magento Open Source 的多個版本分支。這裡的分支名稱與年月後綴必須對照正在執行的實際平台版本，不能只因網站使用 Magento 名稱就把所有裝置、外掛與服務都視為同一修補對象。正式網站、預備網站、測試環境、災難復原環境及仍可從網路到達的舊站，都應列入清單。Adobe 對不同版本提供不同 hotfix 檔案；直接把某個分支的補丁套在其他分支，可能不會修正問題，甚至影響營運。管理者應使用原廠頁面中與自身版本相符的補丁和說明，而不是從非官方轉載頁取得檔案。
Adobe 在後續官方說明中強調，修補不只涉及安裝補丁。該公司要求依版本套用 hotfix，並輪替加密金鑰及可能由它保護的相關憑證。加密金鑰可理解為平台保護某些敏感設定的關鍵材料；若曾有遭接觸的可能，僅更換金鑰未必會使已外流的整合權杖或其他憑證失效。這項要求來自原廠對完整處置的建議，並不表示本文掌握任一商家確已外洩金鑰。執行時應由授權管理者依原廠與內部流程安排，避免在公告、工作單或聊天訊息中暴露實際金鑰與憑證內容。
你可以怎麼做：先列出所有 Adobe Commerce 和 Magento Open Source 安裝，確認版本、對外入口、承載的重要交易流程和負責人。比對 Adobe 目前的 APSB26-146 頁面及其後續官方說明，找出各版本適用的 hotfix；注意 9 月 7 日公告只是起點，10 月查核時必須讀取後續修訂資訊。先在可控環境確認與擴充元件、付款及訂單流程相容，再安排正式網站的變更窗口。若使用託管平台或外部維運服務，不應假設對方已完成處理，而要取得具體版本、補丁與驗證紀錄。對無法立刻修補的環境，記下原因、責任人、暫時降低曝露的措施及預定完成時間。
補丁部署後應獨立驗證。Adobe 提醒部分環境不容易單憑版本號判斷此專屬 hotfix 是否已套用，因此應依產品文件檢查補丁狀態、確認應用程式與必要交易功能正常，再保存可供稽核的結果。『更新工具執行成功』與『每一台正式及備援節點都已套用正確補丁』是兩個不同判斷。若站點採多節點、容器映像或自動部署，應檢查下一次部署不會把未修補版本重新帶回線上。舊備份與暫停服務若日後要恢復，也應先納入修補計畫。本文只提供防禦性的檢查方向，具體檔案與指令應以 Adobe 對該分支的正式文件為準。
金鑰與憑證輪替需要比單一網站更新更周密的安排。Adobe 官方說明提醒，相關整合可能連接支付、物流、稅務、資料庫或其他服務；不同憑證應在其原始服務端重新簽發並撤銷舊值，而不是只修改平台內部顯示的文字。輪替過程可能暫時影響訂單流、後台作業或排程工作，因此應指定負責人、列出依賴關係、安排測試和回復計畫。安全公告不應刊出任何實際憑證，也不宜把輪替完成與否只靠人工勾選；應確認舊值已失效、新值可正常使用，並將結果留在受控的內部紀錄。
CISA 的 KEV 收錄提供另一個獨立優先處置訊號：它代表美國主管機關認定有已知利用證據，並要求相關聯邦機關依規定採取措施。對一般企業而言，CISA 的 9 月 11 日期限不是普遍適用的法律期限，但也不應把期限當成漏洞的首次風險日期。Adobe 本身已表示有真實利用，因此受影響商家應按曝露程度與交易重要性提高優先級。若既有監控顯示網站檔案、管理設定或整合行為異常，應保存紀錄並交由事件應變人員調查；不能只因版本較舊就直接宣稱顧客資料已遭竊，也不能因補丁已裝就排除過去事件的可能。
尚待每個組織自行確認的問題包括：有多少實際部署屬於 Adobe 列出的版本、專屬 hotfix 是否套在所有節點、哪些整合憑證需要輪替，以及是否有可疑變更需要另行調查。Adobe 與 CISA 的公開資料無法替每個站點給出這些答案。處理紀錄應把資產、版本、補丁編號、驗證方式、金鑰與憑證輪替狀態、例外原因和負責人串在一起；若後續公告改變適用版本或修補方式，應回頭修正尚未完成的工作，而非長期沿用最初快照。沒有獨立證據時，也不要把漏洞名稱改寫成具體組織已發生資料外洩。
這篇補刊記錄 Adobe 2026 年 9 月 7 日的 APSB26-146 與後續官方處置說明，以及 CISA 於 9 月 8 日加入 KEV 的資料，兩個來源在 10 月 4 日重新查核。已確認的結論是受影響電商平台需要按版本套用專屬 hotfix、驗證生效，並依 Adobe 要求處理金鑰與關聯憑證；CISA 的目錄支持優先處置。尚未確認的是任何特定讀者的網站是否已遭利用。先完成盤點和修補，按原廠要求完成輪替，並依實際證據安排事件調查，能避免把『已知遭利用』誤讀成『所有商家均已受害』。
官方來源：
- Urgent Action Required: Critical Security Update Available for Adobe Commerce (APSB26-146)（Adobe）
- Known Exploited Vulnerabilities Catalog — CVE-2026-75650（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。