需要操作：适用于Adobe Commerce的关键安全更新(APSB25-88)

2025年9月18日更新

最近，独立安全研究人员通知我们Adobe Commerce中存在一个问题，即攻击者可以通过Commerce REST API接管客户帐户(CVE-2025-54236)。

Adobe没有证据表明这一漏洞正在被恶意利用。

Adobe已发布安全公告解决此漏洞，该公告可在此处找到。

注意： 为了修复上述安全公告中列出的漏洞CVE-2025-54236，Adobe还发布了修补程序VULN-32437-2-4-X-patch，该修补程序可解析CVE-2025-54236。

请尽快应用修补程序。 如果您未能做到这一点，您将容易遭受此安全问题的攻击，而Adobe在帮助进行补救方面的手段有限。

注意： 对于在云基础架构上使用Adobe Commerce的商家，我们已部署Web应用程序防火墙(WAF)规则来保护环境免受此漏洞的攻击。

虽然Adobe已部署WAF规则来减少此漏洞的攻击，但仅依赖WAF规则无法提供全面的保护。 在共享责任模型下，商家负责保护其应用并确保应用补丁程序。 WAF是额外的防御层，但它没有取代应用安全修补程序的需要。

您必须遵循此处提供的所有修正指导，其中可能包括应用修补程序、更新模块或实施其他建议的安全措施。 如果不这样做，可能会使您的环境处于暴露状态，并限制Adobe协助进行补救的能力。

注意： 对于Managed Services商家上的Adobe Commerce，您的客户成功工程师可以提供有关应用此修补程序的其他指导。

注意： 如果您有任何问题或需要帮助，请立即联系我们的支持团队。

提醒您，您可以在此处找到Adobe Commerce的最新安全更新。

描述 description

受影响的产品和版本

Adobe Commerce（所有部署方法）：

Adobe Commerce B2B：

Magento Open Source：

自定义属性可序列化模块：

问题

潜在的攻击者可以通过Commerce REST API接管客户在Adobe Commerce中的帐户。

解决方法 resolution

CVE-2025-54236：潜在的攻击者可以通过Commerce REST API接管客户帐户

对于自定义属性可序列化模块版本：

仅当Adobe Commerce实例当前安装了较低版本的自定义属性可序列化模块（magento/out-of-process-custom-attributes模块）时，本指南才适用。

注释：

请确保应用提供的修补程序修补程序VULN-32437以完全修复该漏洞。

适用的版本： 0.1.0 - 0.3.0

将自定义属性可序列化模块更新到0.4.0或更高版本。

要更新模块，可执行此 编辑器命令：

composer require magento/out-of-process-custom-attributes=0.4.0 --with-dependencies

对于Adobe Commerce版本：

对于Adobe Commerce B2B版本：

对于Magento Open Source版本：

应用以下修补程序或升级到最新的安全修补程序：

如何应用修补程序

解压缩文件，并在我们的支持知识库中参阅如何应用Adobe提供的编辑器修补程序获取相关说明。

仅适用于Adobe Commerce on Cloud商家 — 如何判断是否已应用修补程序

考虑到无法轻松确定是否已修补问题，建议您检查CVE-2025-54236隔离修补程序是否已成功应用。

注意： 您可以执行以下步骤，以文件VULN-27015-2.4.7_COMPOSER.patch 为例：

安全更新

可用于Adobe Commerce的安全更新：