KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-75650 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Adobe Commerce 与 Magento Open Source 是 Adobe 公司基于 PHP 构建的电子商务平台。2026年9月5日披露远程代码执行漏洞(命名 StyleSmuggler),自9月4日起已确认在野利用,Adobe 于9月7日发布安全公告。远程攻击者无需权限、无需用户交互即可利用该漏洞:先通过会被应用日志或错误报告原样记录的畸形输入,将 PHP 代码写入平台自身生成的文件;再触发事务性邮件(如支付交易失败提醒邮件)渲染,邮件模板过滤器处理模板指令时经对象注入链驱动依赖注入代码扫描组件,包含并执行攻击者指定的被污染文件,导致任意代码执行、服务器失陷。
受影响版本:Adobe Commerce 2.4.4-2026-aug 及更早各受支持版本、Magento Open Source 2.4.6-2026-aug 及更早各受支持版本、Adobe Commerce B2B 1.5.3-2026-aug 及更早各受支持版本(均含已应用 2026 年 8 月安全补丁的版本)。
影响范围
应用：adobe commerce（影响面 Up to (excluding) 2.4.4）
应用：adobe commerce（版本 2.4.4）
应用：adobe commerce（版本 2.4.5）
应用：adobe commerce（版本 2.4.6）
应用：adobe commerce（版本 2.4.7）
应用：adobe commerce（版本 2.4.8）
应用：adobe commerce（版本 2.4.9）
应用：adobe commerce_b2b（影响面 Up to (excluding) 1.3.3）
……另有 10 项受影响环境，详见官方公告
解决方案
1、Adobe 已发布针对该漏洞的官方热修复(Hotfix for CVE-2026-75650, Priority 1)，请按照官方安全公告 APSB26-146 的安装说明应用热修复，或升级至最新版本。
2、利用安全组设置其仅对可信地址开放。
参考信息
https://helpx.adobe.com/security/products/magento/apsb26-146.html
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-75650
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。