Magento 後門攻擊波及953網站 修補後仍須清查管理權限
iThome 報道指，針對 Magento（Adobe Commerce）的長期入侵活動已牽涉 953 個電商網站。Sansec 指出，攻擊者自 2025 年 7 月起在受害網站植入可載入外部 JavaScript 的工具，並透過更換控制網域延續活動。這個數字是全球受害網站統計，並非香港受害個案數目。
對營運網店的團隊而言，風險不只在於 server 被入侵。店面頁面一旦被插入由外部控制的 JavaScript，攻擊者便可能因應訪客特徵再傳送不同程式碼。這類手法把原本可信的商店前端變成供應鏈式竄改的載體，付款流程、客戶登入及個人資料相關頁面都應列為優先檢查範圍。
兩個漏洞如何進入同一條入侵鏈
iThome 指出，美國網絡安全及基礎設施安全局（CISA）已將 PolyShell（CVE-2026-48356）加入已遭利用漏洞目錄（KEV），並警告其正被積極利用。該漏洞涉及 Adobe Commerce 與 Magento 對危險檔案上傳限制不足。
報道引述 Sansec 的觀察：攻擊者曾以 PolyShell 作為入口，在短時間內向大量網站植入 web shell 和惡意載入工具；部分個案亦同時涉及 SessionReaper（CVE-2025-54236）。這反映兩個漏洞可被串接，讓入侵者取得上傳或持久化的機會。管理員不應把漏洞修補視為事件的終點，因為它只能封住已知入口，未必移除此前已植入的程式或帳號。
為何更新後仍有風險
iThome 報道提到，Sansec 曾在一個已完成修補的 Magento 2.4.7-p10 網站發現攻擊者建立的管理員帳號及 GSocket 後門。這個個案說明，若網站在更新前已被攻陷，修補本身未必能撤銷既有存取權。
因此，完成官方安全更新後，Magento／Adobe Commerce 團隊宜把工作分成三層：
- 檢視管理員帳號、角色與近期登入紀錄，移除無法確認來源的帳號與權限。
- 檢查店面頁面及資料庫內容是否出現非預期的外部 JavaScript 載入，並核對檔案完整性及排程工作。
- 輪換管理員、資料庫、付款服務及第三方整合所用憑證，並加強異常登入、前端內容變動和對外連線的持續監控。
對香港商戶以及提供開發、託管和維運服務的團隊，較實際的重點是把修補、事後清查和監控列為同一輪事故處理，而非交由不同供應商各自完成。特別是由第三方代管或整合付款服務的網店，應及早釐清誰負責檢查前端程式、管理權限及憑證輪換。
下一步可觀察 CISA KEV 與 Adobe 安全公告是否再披露受影響版本或補救要求；同時，營運者應持續留意修補後是否仍有異常管理員活動或店面程式被改動的跡象。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — 接近1千個電商網站被滲透，攻擊者利用Magento資安漏洞植入後門 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
