逾半數Magento電商平臺遭受PolyShell漏洞攻擊
漏洞簡介與攻擊機制
資安公司Sansec指出，Adobe Commerce與Magento Open Source（簡稱Magento）存在資安漏洞PolyShell。攻擊者可透過濫用產品自訂選項（Custom Options）機制上傳惡意檔案，最終在伺服器執行任意程式碼。
攻擊手法與風險
該漏洞被稱為PolyShell，因其攻擊手法是將惡意程式碼偽裝為圖片，藉由未經身份驗證的檔案上傳機制，讓攻擊者得以無需登入帳號即可執行遠端程式碼（RCE）。
修補與應對措施
- Adobe僅對預覽版本2.4.9-alpha3進行修補，未對正式版本提供更新。
- 相關攻擊手法已在流傳，有可能演變成自動化攻擊活動。
- 網站管理者必須儘速採取行動，例如更新系統或加強伺服器安全設定。
相關來源與資訊
Adobe電商平臺存在資安漏洞PolyShell – iThome
Magento PolyShell Flaw Enables Unauthenticated Uploads, RCE
PolyShell flaw exposes Magento and Adobe Commerce to file upload attacks