Magento SessionReaper（CVE-2025-54236）：我的商店受影响吗？怎么修？

漏洞是什么

• Adobe 公告 APSB25-88（2025 年 9 月 9 日）描述了一个严重的输入验证不当缺陷（CWE-20），可导致安全功能绕过，CVSS 3.1 评分 9.1，无需认证，也无需管理员权限。
• Adobe 支持文章说，攻击者可能通过 Commerce REST API 接管客户账户。
• 给它起名 SessionReaper 的 Sansec 报告称，在某些配置下可以导致未认证远程代码执行。这是 Sansec 的结论，不在 Adobe 公告里。
• 2025 年 10 月 22 日 Adobe 补充说明已知有在野利用，10 月 24 日把优先级提到 1。

受影响版本

怎么修

• 按 Adobe 的 composer 补丁安装说明，安装单独热修复 VULN-32437-2-4-X-patch（在 repo.magento.com 下载），或升级到该分支更新的 Adobe 安全版本。
• 如果装了 magento/out-of-process-custom-attributes，按 Adobe 说明升级（composer require magento/out-of-process-custom-attributes=0.4.0 --with-dependencies），再打热修复。
• Adobe Commerce 云基础设施上的商店已由 Adobe 部署 WAF 规则，但 Adobe 仍要求安装热修复。
• 由于 Adobe 报告了在野利用，打完补丁后请检查客户账户和服务器有无入侵迹象。

怎么自查

以下为只读命令。把版本和上表对比；Adobe Commerce 云环境请确认补丁状态为 Applied。

# Which Magento / Adobe Commerce version is installed? (read-only)
bin/magento --version
composer show magento/product-community-edition magento/product-enterprise-edition 2>/dev/null | grep -E '^(name|versions)'

# Is the Custom Attributes Serializable module installed, and which version?
composer show magento/out-of-process-custom-attributes 2>/dev/null | grep versions

# Adobe Commerce on cloud / with Quality Patches Tool: patch status
vendor/bin/magento-patches -n status | grep -E '32437|Status'

底层的 PHP

Magento 商店也跑在 PHP 上，而 PHP 自身有 2026 年 10 月的 PHP2Shell 漏洞。请在 Magento 产品页 和 PHP 版本页 单独检查 PHP 版本。