用 Magento 開店的請注意：Adobe 10 月安全更新與 PHP 緊急修補，兩項都要做

泰良郭

6小时前

讀畢需時 5 分鐘

2026 年 10 月，Magento 電商網站在兩週內接連收到兩則重大資安公告。一則來自 Adobe，修補 Magento 本身。另一則來自 PHP 官方，修補 Magento 底下的執行環境。

飛象資訊長期維護電商與企業網站。PHP 公告發布當天，我們就盤點了所有維護中的系統。以下整理兩份公告的重點，並列出每種版本對應的處理方式。

一、為什麼兩項都要修

Magento 是用 PHP 寫成的應用程式，網站可以分成兩層看：

上層是 Magento 程式本身，由 Adobe 負責修補。
下層是執行程式的 PHP 環境，由 PHP 官方負責修補。

兩層的漏洞互不相干。只升級 Magento，PHP 仍然可以被攻破；只升級 PHP，Magento 的漏洞也仍然存在。

二、Adobe APSB26-153（2026/10/13）

規模：共修補 11 個漏洞，其中 5 個重大（Critical）、5 個高風險（High）、1 個中度（Medium）。
最嚴重的一個：CVE-2026-103849，屬於樣板引擎注入，CVSS 10.0，不需要登入就能執行任意程式。
其他風險：權限提升、任意寫入檔案、繞過安全機制。
受影響版本：2026 年 9 月以前的以下版本：
- Adobe Commerce 2.4.4 到 2.4.9
- Magento Open Source 2.4.6 到 2.4.9
- Adobe Commerce B2B 1.3.3、1.3.4、1.4.2、1.5.2、1.5.3
修補方式：升級到 2026-oct 版，或套用官方為各版線提供的獨立修補檔。
攻擊現況：Adobe 表示目前尚未發現實際攻擊。

最容易漏掉的一點： Adobe 在 10 月公告中特別要求，9 月 APSB26-146 的 CVE-2026-75650 緊急修補也必須套用，10 月的更新不會自動包含它。這個漏洞（資安研究機構 Sansec 命名為 StyleSmuggler）在 9 月初就已被用來入侵 Magento 商店。如果 9 月沒有處理，現在要一併補上。

三、PHP 官方緊急更新（2026/10/21）

兩個漏洞：
- CVE-2026-109618：PHP 記憶體不足時，內部資料可能損壞，進而被利用。
- CVE-2026-109619：前一個請求留下的狀態沒有清乾淨，被下一個請求利用。
- 兩者都可以被遠端執行程式，官方預告的評分是 CVSS v4.0 9.2。
影響範圍：所有對外提供網頁服務的 PHP，包括 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed。官方評估 mod_php 風險最高，攻擊者不需登入，在網站程式開始執行之前就能觸發。
修補版本：PHP 8.5.12、8.4.27、8.3.36、8.2.35。
舊版本：PHP 8.1 以前官方不再發布新版本，只針對 7.4、8.0、8.1 提供原始碼層級的修補，需要自行編譯。
攻擊現況：已有資安業者回報早期攻擊跡象，攻擊工具也已在外流傳。Bitsight 掃描網路上可辨識版本的 PHP 主機，發現只有約三分之一使用的版本在這次官方更新範圍內，其中最常見的是早已停止支援的 PHP 7.4。

四、依版本對照：您的網站該做什麼

步驟 1：先確認版本。 Magento 版本可以從後台頁尾或 composer.json 查到，PHP 版本可以用 php -v 查。如果不確定，請直接詢問您的維護廠商。

步驟 2：依版本處理。

Magento 2.4.7 到 2.4.9：套用 2026-oct 更新，並確認 CVE-2026-75650 的緊急修補已經套上。
Magento 2.4.6 或更早：2.4.6 在受影響清單內，但 Open Source 的更新版本從 2.4.7 開始列出。這類網站也常搭配 PHP 8.1，而 PHP 8.1 這次沒有官方新版本。建議盡快評估升級。
PHP 8.2 到 8.5：升級到對應的修補版本，並重新啟動所有 PHP 程序。只換套件、沒有重啟，舊程序仍在執行舊版本。
PHP 8.1 以前，包括 Magento 1 常見的 PHP 5.x 與 7.x：沒有官方新版本可以升級，建議三件事同時做：
1. 立即套用 PHP 官方建議的暫時防護設定，例如關閉 session.upload_progress、調整記憶體與上傳大小限制，完成後重新啟動所有程序。
2. 在網站前端加上防火牆規則，例如 WAF，限制異常的大型或多段式請求。
3. 規劃正式修補，可以升級到受支援的版本，或改用提供延伸支援的廠商。

PHP 官方明確表示，暫時防護只能降低風險，不等於修補完成。

步驟 3：修補後檢查。

確認 php -v 顯示的是新版本，並且所有程序都已重啟。
用 Adobe 提供的修補狀態工具，確認 Magento 修補已套用。
檢查後台是否出現不明的管理員帳號、陌生檔案或可疑的排程。
如果懷疑網站曾被入侵，請更換加密金鑰、API 權杖與金流串接的帳密。

五、飛象怎麼處理維護中的客戶

PHP 官方 10 月 21 日發布公告當天，飛象資訊就完成了以下工作：

全面盤點：清查所有維護中系統的 Magento 版本、PHP 版本與主機架構。
逐一通知：依各客戶的維護範圍，說明風險並安排處理時程。
分級處理：可以直接升級的主機，就更新到 PHP 官方修補版。暫時無法升級的舊版系統，先套用官方的暫時防護設定，並加上前端防火牆規則，同時和客戶規劃正式修補方式。
納入例行排程：Adobe 10 月的 Magento 安全更新已排入維護中客戶的修補時程。

電商網站一旦被入侵，影響的不只是網站。消費者的個資與付款資料、品牌信任和平台合規都會受到衝擊。資安修補要持續做，不能等出事才處理。