Adobe Commerce「BlockStrap」滿分漏洞：Magento 團隊應先查電郵範本
Adobe Commerce 及 Magento Open Source 用戶需留意 CVE-2026-103849。iThome 報道指，Adobe 近日已修補這項被 Sansec 命名為「BlockStrap」的漏洞；其 CVSS 評分為滿分 10 分，風險在於攻擊者或可在 server 上遙距執行任意程式碼。
目前最重要的限制是，Sansec 表示尚未發現此漏洞已被實際利用，而 iThome 亦指出 Adobe 沒有將它列作最高修補優先級。因此，這不等同於已出現大規模攻擊；但對承載交易、客戶資料及後台操作的電商平台而言，延後處理的空間並不大。
為何應優先處理
iThome 指出，漏洞位於 Adobe Commerce 與 Magento 的電郵範本引擎，屬第二次指令傳遞引起的注入問題。Sansec 稱已在一天內找出四條可導向遙距任意程式碼執行的利用路徑。這表示即使攻擊步驟較複雜，防守方亦不宜只按「是否已有已知攻擊」決定修補次序。
Sansec 又將 BlockStrap 與 9 月披露、同樣獲 CVSS 10 分的 StyleSmuggler（CVE-2026-75650）相比，兩者均涉及電郵範本引擎。該公司認為，攻擊者可借助 AI 協助逆向分析修補內容以尋找利用方法；這是 Sansec 的風險判斷，並非已確認的攻擊活動。
部署與驗證重點
對負責 Magento 或 Adobe Commerce 的開發、IT 和電商營運團隊，較務實的處理順序是：
- 先盤點生產、測試及災難復原環境所用的產品版本，確認是否採用受影響的電郵範本功能。
- 依 Adobe 提供的修補安排更新，並按自身變更管理流程先在非生產環境驗證，避免範本自訂與擴充套件在更新後失效。
- 部署後測試訂單通知、帳戶通知及其他由範本引擎發出的電郵，確保交易流程和寄送內容正常。
- 檢查相關 server 與應用程式紀錄，建立更新前後的異常活動基線；若已有可疑執行或範本改動，應按事故處理程序調查。
從營運角度看，這次事件提醒團隊不要把電郵範本只視為前台內容工具：一旦它涉及指令處理，其修補和監察優先度便應接近核心應用程式元件。下一步值得觀察的是 Adobe 後續會否更新漏洞的修補指引或利用狀態，以及是否有新增的偵測線索可供平台管理員採用。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — Adobe Commerce重大漏洞BlockStrap恐讓攻擊者直接在伺服器執行任意程式碼 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
