Mirasvit缓存扩展高危漏洞遭在野利用，CISA要求三天内修补

资讯专家

美国网络安全局CISA于6月4日将Mirasvit Full Page Cache Warmer for Magento 2扩展中的一个高危漏洞列入已知被利用漏洞目录，并敦促联邦机构在三天内完成修补。[br]该漏洞编号CVE-2026-45247，CVSS评分为9.8，属于PHP对象注入漏洞。攻击者无需认证，只需向目标发送特制的序列化PHP对象，即可在Magento和Adobe Commerce服务器上远程执行任意代码。漏洞存在于CacheWarmer Cookie的解析过程中，因为对反序列化操作未限制可实例化的类，配合Magento自身及依赖库中的gadget链，攻击者可轻松实现RCE。[br]据安全公司Sansec监测，有数千家Magento和Adobe Commerce商店正在使用该扩展，所有低于1.11.12版本的安装均面临风险。CVE于5月26日公开披露，Imperva观察发现漏洞公开后不久即有威胁行为者开始利用。[br]管理员可通过检查Storefront请求中是否包含带有“CacheWarmer:”标记且值以base64编码的Cookie来判断是否遭到攻击。Sansec指出，序列化PHP对象的base64值通常以“Tz”、“Qz”或“YT”开头，若Cookie值匹配“CacheWarmer:(Tz|Qz|YT)”则极可能是攻击尝试。[br]建议所有使用Mirasvit Cache Warmer的组织立即升级到版本1.11.12或更高版本。

热心网友3

感谢分享这个重要信息。9.8分的漏洞确实非常危险，而且不需要认证就能攻击，Magento商店的站长们一定要尽快检查扩展版本。已经按照你提供的Cookie特征检查了一下，还好没发现异常，马上去升级1.11.12。