9 月電商與 CMS 同時告急：Magento／Adobe Commerce 零時差「StyleSmuggler」被用來植入後門，WordPress 7.1.2 修補一個可串成 RCE 的路徑穿越，三天後即被列入 CISA KEV。
本月重點一覽
| 項目 | 類別 | 嚴重度 |
|---|---|---|
| Adobe Commerce／Magento 零時差 StyleSmuggler（CVE-2026-75650） | 電商平台 | 嚴重｜CVSS 10.0｜零時差利用 |
| WordPress 7.1.1 安全版（11 項安全修補） | CMS | 中～高 |
| WordPress 7.1.2：核心路徑穿越可串成 RCE（CVE-2026-87902） | CMS | 嚴重｜CVSS 4.0 9.2｜CISA KEV |
| Drupal 核心 CKEditor 第三方函式庫（SA-CORE-2026-013） | CMS | 中度嚴重 13/25 |
| Joomla 5.4.9／6.1.4：16 項修補 | CMS | 高（Joomla 自評） |
Adobe Commerce／Magento 零時差 StyleSmuggler（CVE-2026-75650）
類別：電商平台 嚴重度：嚴重｜CVSS 10.0｜零時差利用
未登入攻擊者透過 style 屬性注入 PHP，在「付款交易失敗提醒」郵件範本渲染時執行，並以 cron 常駐、偽裝成 NTP 伺服器的 C2 回連。9 月 4 日即遭利用，Sansec 9 月 5 日揭露，Adobe 9 月 7 日發布 hotfix。影響 Adobe Commerce 2.4.4～2.4.9、B2B 1.3.3～1.5.3、Magento Open Source 2.4.6～2.4.9。
處置建議：套用 Adobe Hotfix VULN-39341 並輪替加密金鑰；檢查 email 範本、cron 與未知 PHP 檔。
來源：Tenable FAQ、Adobe APSB26-146
WordPress 7.1.1 安全版（11 項安全修補）
類別：CMS 嚴重度：中～高
9 月 17 日發布，含 11 項安全修補與大量錯誤修正。
處置建議：升級到最新版。
WordPress 7.1.2：核心路徑穿越可串成 RCE（CVE-2026-87902）
類別：CMS 嚴重度：嚴重｜CVSS 4.0 9.2｜CISA KEV
9 月 22 日發布。頁面範本解析（wp-includes/template.php）未登入路徑穿越，影響 4.7.0～7.1.1；若同時符合「啟用中佈景主題有 page-* 目錄、register_argc_argv 開啟、可讀到 pearcmd.php 之類檔案」可達成 RCE。釋出後數小時即有攻擊嘗試，CISA 9 月 25 日列入 KEV。官方回補到 4.7 以後各分支。
處置建議：升級到 7.1.2 以上（或該分支修補版）；php.ini 關閉 register_argc_argv，移除網站可讀到的 PEAR。
來源：WordPress.org 安全公告分類、CentralCSP 整理
Drupal 核心 CKEditor 第三方函式庫（SA-CORE-2026-013）
類別：CMS 嚴重度：中度嚴重 13/25
9 月 16 日更新核心內含的 CKEditor 第三方函式庫以修補其安全問題。
處置建議：升級到當月安全版。
Joomla 5.4.9／6.1.4：16 項修補
類別：CMS 嚴重度：高（Joomla 自評）
9 月 25 日修補，包括快取清除可刪除任意目錄（CVE-2026-90915）、核心擴充 SSRF（CVE-2026-92222）、Remember Me cookie 造成 MFA 繞過（CVE-2026-92227）、可未授權建立使用者（CVE-2026-90907）等。
處置建議：升級到 5.4.9／6.1.4 以上。
來源：Joomla Security Centre、The DropTimes
站長檢查清單
- PHP、Node.js、網頁伺服器（Apache／NGINX／LiteSpeed）與 cPanel 都要跟上各分支最新修補版，停止支援的版本（PHP 8.1 以下、Drupal 10.6／11.3 以前）要規劃遷移。
- WordPress、Drupal、Joomla 核心與外掛開啟自動安全更新；停用、刪除用不到的外掛。
- 定期檢查是否出現陌生的管理員帳號，uploads 目錄禁止執行 PHP。
- npm 專案鎖定版本、CI 停用安裝腳本；發生供應鏈事件時輪替所有憑證。
本文依各官方公告與資安廠商公開資料整理，版本與評分以原始公告為準；整理日期 2026-10-29。