電商平臺Magento快取外掛存在重大漏洞，攻擊者可用於遠端程式碼執行攻擊

來源：iThome（ID: 711） URL：https://www.ithome.com.tw/news/176288 發布日期：2026-06-02

摘要

資安公司Sansec揭露Magento/Adobe Commerce電商平臺熱門快取外掛Mirasvit Cache Warmer存在重大漏洞（CVE-2026-45247，CVSS 9.8），攻擊者無需身分驗證即可透過特製cookie觸發PHP物件注入，搭配合適的Gadget Chain可實現遠端任意程式碼執行（RCE）。

漏洞細節

• 受影響外掛：Mirasvit Cache Warmer（Magento/Adobe Commerce快取外掛）
• 漏洞類型：未通過身分驗證的PHP物件注入（Object Injection）
• CVE編號：CVE-2026-45247
• CVSS評分：9.8（Critical）
• 揭露來源：Sansec

攻擊方式

• 攻擊者發送特製cookie進行storefront請求即可觸發
• 無需身分驗證、管理員權限或特殊設定
• 搭配合適的 Gadget Chain 可實現遠端任意程式碼執行（RCE）

影響範圍

• 約6,000個電商平臺採用該外掛（實際安裝數量可能更多）
• 該套件常與其他Mirasvit套件捆綁安裝，許多商店經營者可能不知情

修補建議

• 修補版本：1.11.12（2025年5月25日發布）
• 建議立即更新至最新版本
• Sansec提供入侵檢測方法，可供管理員確認是否已遭入侵
• 目前尚未有實際攻擊活動的明確紀錄，但成功利用會留下明確請求紀錄

衍生頁面

• 電商平臺Magento快取外掛Mirasvit Cache Warmer重大漏洞CVE-2026-45247遭遠端程式碼執行攻擊 — 主要概念頁面
• mirasvit — Mirasvit外掛廠商實體頁面