CVE-2026-103849：Magento 满分模板注入，未登录即可执行 PHP
Adobe 在 10 月 13 日的 APSB26-153 中修复 Magento 与 Adobe Commerce 邮件模板引擎的 BlockStrap 漏洞 CVE-2026-103849，CVSS 10.0。攻击者无需账号即可在商店服务器执行任意 PHP，Sansec 称这是 9 月 StyleSmuggler 补丁留下的缺口。
电商安全
DoppelCart欺诈网络曝光：11.9万个假电商域名实时窃取银行卡与验证码
德国安全公司Nebty发现迄今最大假电商网络DoppelCart：超11.9万个域名仿冒4.4万余个品牌，WebSocket实时外传持卡人数据并可中继银行OTP绕过3D Secure验证，10.5万假店仍在线。
Magento 零日漏洞 StyleSmuggler 遭在野利用：未认证 RCE 植入 Rust 后门
Sansec 披露 Magento 与 Adobe Commerce 未认证远程代码执行攻击链 StyleSmuggler，9 月 4 日起遭在野利用并植入持久化 Rust 后门，Adobe 尚未发布补丁与 CVE 编号。