事件背景：修補前已有攻擊者進場
來源事實：Adobe 已針對 Adobe Commerce、Adobe Commerce B2B 與 Magento Open Source 發布緊急修補程式，處理 CVE-2026-75650。官方將漏洞列為最高的優先等級 1，CVSS 3.1 基礎分數為 10.0；攻擊不需帳號、互動或既有權限，即可能造成任意程式碼執行。Adobe 同時確認漏洞已遭實際利用。受影響範圍涵蓋 Adobe Commerce 2.4.4 至 2.4.9、Magento Open Source 2.4.6 至 2.4.9 等產品線的 2026 年 8 月版及更早版本，實際判定仍應依官方表格為準。原始彙整頁面：https://www.itsecuritynews.info/adobe-patches-magento-zero-day-exploited-to-deploy-rust-backdoor-and-php-web-shell/；Adobe 公告：https://helpx.adobe.com/security/products/magento/apsb26-146.html
荷蘭電商資安公司 Sansec 將這條攻擊鏈命名為「StyleSmuggler」，並稱最早確認的利用活動出現在 9 月 4 日；Adobe 直到 9 月 7 日才釋出 VULN-39341 hotfix。這表示部分商店曾有約三天處於「漏洞已被利用、官方修補尚未提供」的零時差空窗。法國 CERT-FR 也獨立發布通報，確認風險是遠端任意程式碼執行，並引述 Adobe 對實際利用的認定：https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1130/
攻擊鏈如何把商店功能變成執行器
來源事實：依 Sansec 的鑑識結果，漏洞位於 Magento 範本處理流程對特殊元素的不當中和。攻擊分成兩階段：先利用 styles 屬性，讓含有 PHP 的惡意內容進入 Magento 可處理的資料；再觸發「付款交易失敗提醒」郵件，使伺服器在產生郵件範本時執行被植入的程式碼。重點不是收件者是否打開郵件，而是後端進行範本渲染本身就成了執行節點。技術調查與時間線見：https://sansec.io/research/stylesmuggler-0day
合理推論：這種設計層面的危險，在於外部輸入跨越了資料與程式碼的界線。GraphQL、付款通知及範本引擎原本都是正常商務功能；攻擊者卻能串接它們，避開「只檢查上傳檔案」或「只保護管理後台」的傳統防線。因此，單純限制後台登入來源，並不足以阻擋這次不需驗證的攻擊。
Rust 後門與 PHP Web Shell 代表兩種持續控制路線
Sansec 在受害環境中觀察到小型 Rust Linux 後門。不同版本會偽裝成 kworker、fc-cache 或 chronyd 等看似正常的系統程序，部分版本透過 cron 重新啟動，並把通訊偽裝成 UDP 123 埠的時間同步流量。研究團隊在發文當時表示，尚未看到後門被進一步「武器化」的證據；這只能描述當時觀察狀態，不能解讀為入侵沒有風險。
同一漏洞也被另一名、工具組不同的攻擊者利用：先探測作業系統、PHP 執行身分、工作目錄及媒體目錄是否可寫，再把 PHP Web Shell 藏進商品圖片快取路徑。沒有正確請求標頭時，Web Shell 會回傳 404，藉此降低被一般掃描撞見的機率。這項歸因限制很重要：Rust 後門和 PHP Web Shell 出現在相同受害面，不等於它們由同一團體操作。
作者觀點：真正值得注意的並非「Rust 天生無法偵測」。Sansec 當時看到的樣本僅有極少數防毒引擎辨識，但這種優勢可能隨樣本公開而迅速消失。更棘手的是攻擊者同時利用合法程序名稱、類似 NTP 的流量，以及可變動的持久化方法；若監控規則只尋找 PHP 惡意檔案，便可能漏掉已轉入獨立 Linux 執行檔的控制通道。
修補不等於復原
Adobe 要求受影響商家套用 VULN-39341，並輪替 Commerce 加密金鑰。但官方進一步強調，只換加密金鑰無法撤銷攻擊者先前讀取的祕密；管理員密碼、REST／SOAP／GraphQL 整合權杖、OAuth 密鑰、金流 API 憑證、資料庫密碼、SSH／部署金鑰及第三方擴充套件 API 金鑰，都應在各自服務端重新產生。完整操作順序見：https://experienceleague.adobe.com/en/docs/commerce-knowledge-base/kb/announcements/commerce-apsb26-146
合理推論：Adobe 把憑證輪替列為「完整處置」的一部分，反映事件邊界已超過單一 Magento 主機。電商平台通常串接金流、物流、稅務、ERP 與行銷服務；任何已外洩的長效權杖，都可能在漏洞封住後繼續有效。事件應變不能停在「網站恢復營運」，而應追蹤每一個由 Commerce 保存或可存取的祕密。
容易忽略的限制與實際影響
- 遠端程式碼執行通常先取得 Web 服務帳號的權限，不等同已證實取得 root；但攻擊者仍可能讀取應用程式設定、修改商店程式或建立額外入口。
- hotfix 僅關閉新的利用路徑，不會刪除既有後門、惡意 cron、被竄改的 PHP 檔案或已失竊憑證。
- Adobe 表示 hotfix 只在指定的 2026 年 8 月版本完成測試；使用更舊分支的商家，不宜自行假設相容性，應依供應商或維運夥伴程序驗證。
- 程序名稱、IP、網域與檔案路徑都是可更換指標。只比對單一 IOC，無法證明主機乾淨。
對台灣商家與服務商的意義
台灣讀者不應只用「本地 Magento 市占率」衡量風險。跨境品牌、B2B 採購平台、代營運商與系統整合商，可能共同維護同一套 Commerce 環境；一次主機入侵便可能牽動消費者資料、金流權杖及多個外部供應商帳號。維運責任若分散在品牌、雲端商、開發公司與金流業者之間，更需要先確認誰負責套補丁、保存日誌、輪替憑證及通知利害關係人。
接下來應觀察什麼
- 所有對外 Commerce／Magento 執行個體是否已確認 VULN-39341 為 Applied，而非只下載補丁。
- 9 月 4 日起的 GraphQL、付款失敗郵件、異常報告檔、媒體目錄 PHP 檔案、cron 與程序樹是否完成回溯鑑識。
- 是否出現偽裝成系統服務的未知二進位檔，以及異常 UDP 123 對外流量。
- 加密金鑰與所有下游憑證是否真正於來源端撤銷、重發，並檢查輪替後仍使用舊權杖的連線。
- Adobe、Sansec 或各國 CERT 是否更新受影響版本、攻擊載荷與入侵指標；調查結論應隨新證據修正。