我们一直在跟踪一个未经身份验证的严重远程代码执行 (RCE) 漏洞（编号为 CVE-2026-75650，名为 StyleSmuggler）。Akamai 安全情报组已确认，攻击者正在主动尝试利用该漏洞。
该漏洞的 CVSS 评分高达满分 10.0，攻击者无需进行任何身份验证或用户交互即可进行利用。
攻击者通过 HTTP 标头和参数将恶意 PHP 代码注入 Magento 的模板处理链中，并随后在自动生成电子邮件时执行该代码。
根据我们的调查，Akamai Adaptive Security Engine (ASE) CMD 注入防护功能已原生阻断了基于 GraphQL 标头和参数的主要漏洞利用媒介，而无需部署任何新规则。
针对该漏洞，我们将继续验证在所有已观察到的漏洞利用媒介中的检测覆盖范围。
受影响的客户仍应尽快安装 Adobe 提供的官方热修复程序 (APSB26-146/VULN-39341)。
CVE-2026-75650 是一个影响 Adobe Commerce、Adobe Commerce B2B 和 Magento Open Source 的严重远程代码执行漏洞。利用该漏洞，未经身份验证的攻击者可以将 PHP 代码注入平台的模板引擎中，然后在服务器上执行该代码。
自 2026 年 9 月初以来，该漏洞已遭到攻击者的广泛利用，促使 Adobe 发布了紧急带外安全更新进行应对。
该攻击的实施过程分为四步：
攻击者向 Magento 的 GraphQL 端点发送请求，并在请求的 HTTP 标头或参数中隐藏了恶意的 PHP 代码。
Magento 会记录这个无法识别的值，从而意外地将攻击者的 PHP 代码存储在服务器端的日志文件中。
某个后续请求会触发 Magento 的模板引擎，通常是通过生成一封标准的交易电子邮件来实现的。
在渲染过程中，该模板引擎会加载中毒的日志文件，并执行嵌入的 PHP 代码，从而使攻击者能够实现远程代码执行。
由于攻击者无需进行任何身份验证或用户交互即可利用漏洞，因此任何已暴露且未安装补丁的实例都面临风险。
该漏洞存在于 Adobe Commerce 和 Magento Open Source 版本 2.4.4 到 2.4.9 以及 Adobe Commerce B2B 1.3.3 到 1.5.3 中。用户应安装 Adobe 在 APSB26-146 安全通告中提供的安全更新 (hotfix VULN-39341)，以修复该漏洞。
根据我们的调查，Akamai App & API Protector 的 Adaptive Security Engine CMD 注入防护功能可以原生阻断基于 GraphQL 标头和参数的主要漏洞利用媒介，而无需部署任何新规则。现有的 ASE 规则已经能够检测并阻止我们在分析 StyleSmuggler 漏洞利用尝试时发现的 PHP/命令注入模式。在撰写本文时，尚未发现针对该漏洞的公开且完全武器化的概念验证。
针对该漏洞，我们将继续验证在所有已观察到和新出现的漏洞利用媒介中的检测覆盖范围。虽然 Akamai 的 Web 应用程序防火墙 (WAF) 防护解决方案可以识别并阻断已知的漏洞利用模式，但最有效的防御手段仍然是及时应用供应商提供的补丁。鉴于该问题的严重性，请尽快应用更新。
©2026 Akamai Technologies
