【Magento後門】953家商店中招 賣家官網怎自查

（專欄／張文婷報導）CISA 10月27日把Magento檔案上傳漏洞列入已遭利用清單。資安業者統計，953家線上商店被植入惡意載入程式，台灣自架Magento官網的賣家同陷風險。

事件：15個月換五個網域，953家商店中招

資安業者Sansec於10月24日公布研究，追蹤一個自2025年7月起活動的犯罪集團。研究指出，該集團累計入侵953家線上商店，多數架在Magento或Adobe Commerce。15個月內它換過五個網域，時間點落在2025年7月、12月與2026年3月、6月、10月。最新一個是10月6日註冊的deepveindrilling.com，隔天就有商店開始載入。

Sansec在83家商店的CMS靜態區塊裡找到這段惡意程式，其中60家在10月改版前就已感染。這代表舊的載入程式根本沒被清掉，攻擊者只是把新網域寫進同一批商店。有34家的感染時間可回溯到2025年10月。程式碼藏在Magento的cms_block資料表，不在佈景主題檔，也不在core_config_data設定表。

時間回到3月30日，這個集團曾於一小時內把載入程式寫進471家商店。這是這波行動中單一波次規模最大的一次。Sansec說明，當時是先以PolyShell漏洞上傳webshell，再改寫CMS區塊。自2025年7月以來的整場行動中，缺少至少一項核心修補的169個Magento安裝有102個曾被利用PolyShell或SessionReaper上傳檔案，比例60%。

美國網路安全與基礎設施安全局（CISA）10月27日將PolyShell漏洞（CVE-2026-48356）列入「已遭利用漏洞」清單。依清單登錄資料，該漏洞為危險類型檔案上傳未受限制，可導致任意程式碼執行。Adobe已透過APSB26-73公告修正此漏洞，風險分數9.6，屬重大等級，利用時不需先取得帳號。CISA要求聯邦機構在11月10日前完成修補。

修補裝了，後門還在

Sansec也記錄到一個案例：一家已安裝全部核心修補的Magento 2.4.7-p10商店，在10月23日仍被寫入新的載入程式。前一小時的掃描紀錄顯示它是乾淨的。同一家店在9月16日被找到陌生的管理員帳號，9月24日又被找到GSocket後門程式。

這說明入侵管道未必是「還沒補的那個洞」。攻擊者只要拿到資料庫寫入權限，就能反覆把程式碼寫回CMS區塊。Sansec指出，刪掉頁面上的腳本，並不會移除攻擊者的存取權。

這段程式的行為也刻意躲避偵測。訪客瀏覽器會先向集團伺服器請求下一步指令，伺服器再判斷對方是真人或掃描器。掃描器拿到空白，真人訪客則依集團設定載入釣魚頁、轉址或惡意腳本。程式還會把指令存進瀏覽器的localStorage，之後每次瀏覽都重播，就算網域被封也照跑。

對賣家代表什麼

對自架官網的賣家，這類事件付出的代價不只是修網站。品牌官網一旦被當成跳板，攻擊者就能依訪客特徵投放釣魚頁或轉址。平台型賣家出事可以把責任推回平台，自架站只能自己承擔。

試算一個具體情境：月營收100萬元、轉換率2%的官網，若轉換率掉到1.8%，等於少10萬元營收。若毛利率20%，少掉的毛利就是2萬元。這筆帳還沒算進客訴、退款與重新清理網站的人力。

電商阿姐張文婷指出，很多老闆把資安當成資訊部門的事。在她看來，自架站的資安其實是毛利問題。「修補像門鎖，後門像備份鑰匙；鎖換了，鑰匙還在對方手上，門就等於沒鎖。」

另一面是，這類成本最終會反映在服務報價上。無力自建團隊的中小賣家，通常在月費與資料自主性之間取捨。平台型開店把這部分工作轉給服務商，代價是客製與資料運用空間受限。這也回到老問題：賣家官網怎選。

三步自查，今天就能做

Sansec在研究中提供可直接執行的查法，賣家或代管廠商都能照做，包括：

1. 查CMS區塊與頁面：對cms_block與cms_page執行LIKE查詢，尋找fpCode、se_referrer、localStorage.getItem等字串。
2. 查異常檔案：列出pub/media/custom_options/ 與 customer_address/ 下所有檔案（排除 .htaccess），逐一比對非預期檔案，包含偽裝成圖片的webshell。
3. 查管理員帳號：核對admin_user是否有不認識的帳號，同時確認主機沒有異常程序。

清理後務必更換資料庫、管理員與API整合密碼，否則權限還在對方手上。接著安裝Adobe針對PolyShell與SessionReaper的兩項修補程式。日常則建議限制後台登入來源、開啟雙因子驗證，每季做一次檔案與資料庫掃描。

至於開店平台的資安分數怎麼看，邏輯相同：先問誰負責，再問花多少錢。這次事件的教訓不在技術細節，而在責任歸屬。把資安成本編進年度預算，比事後修網站便宜。

免責說明：本文依公開資訊整理與產業觀察，僅供參考，不構成投資、法律或經營決策建議；實際規定與施行時程，以各平台／主管機關官方最新公告為準。

資料來源：

• iThome／記者周峻佑《接近1千個電商網站被滲透，攻擊者利用Magento資安漏洞植入後門》（2026-10-28）
• iThome／記者周峻佑《Magento、Brotli漏洞遭積極利用》（2026-10-28）
• Sansec Forensics Team《deepveindrilling.com: Magento CMS block loader hits 953 stores》（2026-10-24）
• CISA《Known Exploited Vulnerabilities Catalog》（2026-10-27）
• Adobe 安全公告《APSB26-73：Adobe Commerce 安全性更新》（2026-07-14 發布，2026-10-29 查閱）

作者｜張文婷（電商阿姐）
豐誠國際有限公司負責人
電商營運顧問｜平台代操服務｜電商策略諮詢