重點整理
- WSO2 與 Adobe Commerce 嚴重漏洞已遭駭客實際利用。
- WSO2 漏洞可讓駭客遠端執行程式碼，影響企業後端系統。
- Adobe Commerce 漏洞會讓駭客切換帳號，竊取顧客個資。
- 美國 CISA 已將這兩項漏洞列入已知被利用漏洞目錄。
許多中小企業在建立電商網站或串接後端系統時，會使用成熟的第三方軟體來節省開發時間。然而，這些系統一旦爆出安全漏洞，若沒有及時更新，就可能成為駭客攻擊的破口。近期，企業級系統 WSO2 與電商平台 Adobe Commerce 接連爆出嚴重漏洞，且已經被駭客實際利用。這不僅關係到企業內部資料的安全，更直接威脅到顧客的個人資料。身為企業主或行銷人員，了解這些風險並採取行動，是保護品牌商譽的重要一步。
什麼是 CISA KEV？為什麼這次漏洞特別危險？
這次的新聞中，美國網通與基礎設施安全局（CISA，負責美國關鍵基礎設施資安的政府機構）將兩個漏洞加入了 KEV 目錄。KEV 全名是 Known Exploited Vulnerabilities（已知被利用漏洞目錄），簡單來說，這個目錄收錄的不是「理論上有風險」的漏洞，而是「駭客已經在現實世界中實際用來攻擊」的漏洞。
當一個漏洞被放入 KEV，代表攻擊者已經掌握了利用方法，甚至可能已經寫好了自動攻擊程式。對於還在觀望、覺得「應該沒人會來駭我」的企業來說，這是一個非常明確的警告：駭客已經在行動了。
WSO2 漏洞：後端系統的遠端控制危機
第一個被點名的漏洞編號為 CVE-2026-5430，其 CVSS（通用漏洞評分系統，用來評估漏洞嚴重程度的分數，滿分 10 分）評分高達 9.8，屬於極度嚴重的等級。這個漏洞存在於 WSO2 的多項產品中。WSO2 是一套常被企業用來管理 API（應用程式介面，讓不同軟體系統之間能互相溝通的橋樑）與流量控制的底層系統，廣泛應用於銀行、政府、電信與物流等產業。
這個漏洞屬於「路徑遍歷」漏洞，這是一種讓駭客跳過系統資料夾限制，存取不該看的檔案的攻擊手法。更可怕的是，它會導致「遠端程式碼執行」，也就是讓駭客能在你的伺服器上，像管理員一樣執行惡意程式。資安公司 watchTowr 發現，駭客已經在利用偽造的 JWT tokens（一種用來驗證使用者身分的數位憑證）進行攻擊。這意味著，如果你的企業有使用相關底層系統且未更新，整個後端伺服器可能已經門戶大開。
Adobe Commerce 漏洞：電商顧客個資的門戶大開
第二個漏洞編號為 CVE-2026-71362，CVSS 評分 9.1，影響的是 Adobe Commerce 與 Magento（兩者皆為全球知名的電商建站系統）。這是一個「授權錯誤」漏洞，攻擊者可以在不需要顧客互動的情況下，取得敏感資源的存取權限。
對電商網站來說，這個漏洞的殺傷力在於顧客資料外洩。資安公司 Sansec 指出，駭客可以透過這個漏洞，直接把 A 顧客的 Session（維持使用者登入狀態的機制）切換到 B 顧客的帳號。這代表駭客可以無聲無息地登入受害者的帳號，看光他們的訂單紀錄、收件地址等私人資料。資安公司 Previdian 也觀測到來自澳洲的 IP 正在嘗試利用此漏洞。一旦顧客個資外洩，企業將面臨嚴重的商譽危機與客訴風波。
崴米的建議
面對已經被實際利用的嚴重漏洞，企業不能抱有僥倖心態。以下是我們給中小企業主的兩點具體建議：
- 立即盤點系統版本並更新：請您的資訊人員或網站開發商，立刻確認目前使用的系統版本，並套用原廠發布的最新安全性更新。如果是使用開源電商系統，請務必確認外掛與核心程式是否都已升級到安全版本。
- 導入專業的主機監看與代管服務：中小企業通常沒有專責的資安團隊來每天盯漏洞情報。把系統更新、憑證管理與主機安全交給專業的網站代管維護與主機監看團隊來把關，不僅能第一時間收到漏洞警示，也能確保修補作業確實執行，讓您專心本業。
參考來源：WSO2 and Adobe Commerce Flaws Exploited in Attacks, Added to CISA KEV
