七月的补丁，十月底才进在野名单：Magento 商城那个上传洞，今天正好到期
CISA 的 KEV 名单里，CVE-2026-48356 这条是 10 月 27 日加进去的，整改期限标着 11 月 10 日——就是今天。翻到 Adobe 那边的公告（APSB26-73），发布日期写着 2026 年 7 月 14 日，公告里还有一句读起来特别有对比感的话：
Adobe is not aware of any exploits in the wild for any of the issues addressed in these updates.
七月说"没看到有人在打"，十月底就直接进了"已知被在野利用"。中间这三个月，是漏洞这件事最常见的样子：补丁什么时候发出来，和它什么时候真被人拿来用，本来就是两码事。
它是个"不登录也能传文件"的洞
Adobe 把 CVE-2026-48356 归类成 CWE-434，不受限的危险文件类型上传（Unrestricted Upload of File with Dangerous Type），危害写的是权限提升，级别 Critical，CVSS 3.1 基础分 9.6，向量：
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L看两个位就够了：PR:N（不需要任何身份认证）、AV:N（网络可达）。翻成大白话——攻击者不登后台、不碰账号，在你眼里就是个"还没登录的访客"。唯一的门槛是 UI:R，需要有人配合点一下；放到商城场景里，这个"配合"通常就是正常逛店、往购物车里塞东西那类前台交互。这也是雷达里把它记成"前台购物车免登录传 Web Shell"的原因。
一旦文件传上去、又能被 web 服务器解析，就是最老的一条链：上传文件 → 落地 Web Shell → 任意代码执行。公告里写得也直白，说这能 "result in arbitrary code execution in the context of the current user"。放在一个跑着支付、客户资料和后台管理员的商城上，这个"当前用户"是谁，不用多猜。
补丁发在哪一版
受影响的是整条 2.4 线，不是只有最新版：
| 产品 | 受影响版本 |
|---|---|
| Adobe Commerce | 2.4.9；2.4.8-p5 及更早；2.4.7-p10 及更早；2.4.6-p15 及更早；2.4.5-p17 及更早；2.4.4-p18 及更早 |
| Magento Open Source | 2.4.9；2.4.8-p5 及更早；2.4.7-p10 及更早；2.4.6-p15 及更早 |
| Adobe Commerce B2B | 1.5.3；1.5.2-p5 及更早；1.4.2-p10 及更早；1.3.4-p17 及更早；1.3.3-p18 及更早 |
| Adobe Commerce Events | 1.6.0 – 1.20.0 |
修复版是 2026 年 7 月那批：2.4.9-2026-jul、2.4.8-2026-jul、2.4.7-2026-jul、2.4.6-2026-jul、2.4.5-2026-jul、2.4.4-2026-jul；B2B 对应 1.5.3-2026-jul 这一组；Commerce Events 升到 1.21.0。
注意那些带 -p 的版本号：2.4.8-p5、2.4.7-p10 这种是安全补丁版。很多人以为自己"一直在跟补丁"就没事，可这次受影响列表里，恰恰把它们一个一个点了出来——光跟着 -p 走不够，要看有没有上到带日期的那个 -2026-jul。
先跑一条命令看自己在不在里面
Magento 的版本在 composer 里就能查，不用翻后台：
php bin/magento --version
# 或者
composer show magento/product-community-edition | grep -i version看到 2.4.x、2.4.x-pN 这种、又不是 -2026-jul 结尾的，就在受影响区间里；2.4.9-2026-jul 这种带日期的才算修过。
修之前、修之后都建议顺手扫一遍前台上传目录——Magento 这块口子一般落在 pub/media 下：
find pub/media -type f \( -name "*.php" -o -name "*.phtml" -o -name "*.php5" \) -newermt "2026-07-01"pub/media 里正常情况下不该有可执行的 php/phtml。要是真扫出来了，先别急着删——抓一份存档再动，那是别人进来过的痕迹。
说点实际的
这条 CVE 本身不新，七月就修了。它值得单独拎出来，是因为两件事。
一是 CISA 10 月 27 日把它收进 KEV，整改期限压到今天——说明"没人打"的判断已经过时，真有人在用。
二是电商这套东西的暴露面，比大多数人以为的大。后台锁得再死，前台购物车、结算、评价这些接口还是敞着的，"未认证"加"能上传"凑一起，就是白送的入口。前阵子 PHP 引擎那个一个 POST 就能拿 shell 的洞 是同一个逻辑；再往前 Discuz 那次不用登录就能把库导走，也是前台先破的。
要动的就三步：升到 -2026-jul 那批；轮换一遍后台账号和相关密钥（真被打过，密码就是明的）；扫一遍 pub/media 和 web 目录里的可疑 php。
至于那个"整改期限今天到期"——那是 CISA 给美国联邦机构定的 deadline，跟我们没关系。不过既然撞上了今天，顺手把自己商城的版本号核一遍，总不亏。
评论