需要採取動作：Adobe Commerce有可用的重要安全性更新(APSB25-88)

2025年9月18日更新

獨立安全性研究人員最近已告知Adobe Commerce中攻擊者可透過Commerce REST API接管客戶帳戶的問題(CVE-2025-54236)。

Adobe沒有證據顯示有人在野外利用這個漏洞。

Adobe已發佈安全性公告，解決此弱點，可在此處找到。

注意： 為了修正上述安全性公告中所列的漏洞CVE-2025-54236，Adobe也發行了解析CVE-2025-54236的Hotfix VULN-32437-2-4-X-patch。

請儘快套用Hotfix。 若未這麼做，您就容易受到此安全性問題的攻擊，而Adobe協助修正的方法有限。

注意： 對於在雲端基礎結構上使用Adobe Commerce的商家，我們已部署Web應用程式防火牆(WAF)規則來保護環境不受此漏洞的利用。

雖然Adobe已部署WAF規則來減少此漏洞的利用情形，但僅依賴WAF規則並不能提供全方位的保護。 在共用責任模式下，商家有責任保護其應用程式，並確保套用修補程式。 WAF是額外的防禦層，但並未取代套用安全性Hotfix的需求。

您必須遵循此處提供的所有修正指引，其中可能包括套用修補程式、更新模組或實施其他建議的安全性措施。 若未這麼做，可能會讓您的環境暴露在外，並限制Adobe協助修正的能力。

注意： 針對Managed Services商家上的Adobe Commerce，您的客戶成功工程師可提供套用Hotfix的額外指引。

附註： 若您有任何問題或需要協助，請立即連絡我們的支援團隊。

提醒您，您可以在這裡找到Adobe Commerce的最新安全性更新。

說明 description

受影響的產品和版本

Adobe Commerce （所有部署方法）：

Adobe Commerce B2B：

Magento Open Source：

自訂屬性可序列化模組：

問題

潛在攻擊者可透過Commerce REST API取得Adobe Commerce中的客戶帳戶。

解決方法 resolution

CVE-2025-54236：潛在的攻擊者可能會透過Commerce REST API接管客戶帳戶

對於自訂屬性可序列化模組版本：

此指引僅適用於您的Adobe Commerce執行個體目前已安裝較舊版本的自訂屬性可序列化模組（magento/out-of-process-custom-attributes模組）時。

附註：

請務必套用提供的Hotfix修補程式VULN-32437，以完全修復漏洞。

適用版本： 0.1.0 - 0.3.0

將自訂屬性可序列化模組更新至0.4.0版或更新版本。

若要更新模組，可執行此 撰寫器命令：

composer require magento/out-of-process-custom-attributes=0.4.0 --with-dependencies

若為Adobe Commerce版本：

若為Adobe Commerce B2B版本：

若為Magento Open Source版本：

套用下列Hotfix或升級至最新的安全性修補程式：

如何套用Hotfix

解壓縮檔案，並在我們的支援知識庫中參閱如何套用Adobe提供的撰寫器修補程式，以取得指示。

僅適用於Adobe Commerce on Cloud商家 — 如何判斷是否已套用修補程式

考慮到無法輕易判斷問題是否已修補，建議您檢查CVE-2025-54236隔離修補程式是否已成功套用。

注意： 您可以執行下列步驟，以檔案VULN-27015-2.4.7_COMPOSER.patch 為例：

安全性更新

Adobe Commerce可用的安全性更新：