黑客正积极利用 Adobe Commerce平台中的 “SessionReaper” 严重漏洞（CVE-2025-54236）发起攻击，目前已记录到数百次攻击尝试。
该攻击活动由电商安全公司 Sansec 发现，该公司研究人员此前称，“SessionReaper” 是 Adobe Commerce 产品史上最严重的安全漏洞之一。
Adobe 于 9 月 8 日就 CVE-2025-54236 发布预警，称这是一个输入验证不当漏洞，影响 Adobe Commerce 2.4.9-alpha2、2.4.8-p2、2.4.7-p7、2.4.6-p12、2.4.5-p14、2.4.4-p15 及更早版本。
攻击者成功利用该漏洞后，无需用户任何交互操作即可控制账户会话。Adobe 解释道：“潜在攻击者可通过 Commerce REST API 接管 Adobe Commerce 中的客户账户。”
Sansec 此前表示，漏洞能否成功利用，很大程度上取决于会话数据是否存储在文件系统中 —— 这是大多数商户使用的默认配置；此外，Adobe 泄露的热修复程序可能为黑客提供了利用漏洞的线索。
“SessionReaper” 应急补丁发布约六周后，Sansec 确认该漏洞已出现野外活跃攻击。其公告中写道：“Adobe 针对 SessionReaper（CVE-2025-54236）的应急补丁发布六周后，该漏洞已进入活跃利用阶段。”
研究人员表示：“Sansec Shield 今日检测并拦截了首批真实攻击，这对数千家仍未打补丁的商户而言是坏消息。”
就在发布当天，Sansec 拦截了 250 多次针对多家商户的 “SessionReaper” 漏洞攻击尝试，多数攻击来自以下 5 个 IP 地址：34.227.25.444.212.43.3454.205.171.35155.117.84.134159.89.12.166
截至目前，攻击手段包括植入 PHP Webshell（网页后门），或通过 phpinfo 探针检查系统配置设置、查找系统中的预定义变量。
同日，Searchlight Cyber 的研究人员发布了关于 CVE-2025-54236 的详细技术分析报告，这可能导致后续攻击尝试次数增加。
据 Sansec 统计，目前网上 62% 的 Magento 商户仍未安装 Adobe 的安全更新，面临 “SessionReaper” 漏洞攻击风险。
研究人员指出，补丁发布 10 天后，修复进度依旧缓慢，仅三分之一的网站完成更新；目前，每 5 家商户中就有 3 家存在漏洞风险。
研究人员强烈建议网站管理员尽快安装补丁，或采用 Adobe 推荐的缓解措施。
消息来源：bleepingcomputer；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
暂无评论内容