Критична вада BlockStrap дозволяє запуск коду на серверах Magento
Дослідники Sansec попереджають про вразливість CVE-2026-103849 у Magento та Adobe Commerce, яка може дати змогу зловмисникам виконувати довільний PHP-код на серверах магазинів.
Sansec повідомляє про критичну вразливість BlockStrap (CVE-2026-103849) у Magento Open Source та Adobe Commerce, яка відкриває шлях до виконання довільного коду на сервері. Атак поки не зафіксовано, але дослідники очікують, що експлойти з'являться найближчим часом.
Що сталося
За даними компанії, лише за першу добу аналізу вони виявили чотири потенційні шляхи атаки через CVE-2026-103849. Попри це Adobe оцінила проблему як «priority 2» (рекомендований термін встановлення патча — до 30 днів), чому Sansec публічно заперечує, наголошуючи на високому ризику швидкої автоматизованої розробки експлойтів за допомогою агентів зі штучним інтелектом.
Як працює BlockStrap
Adobe у бюлетені від 13 жовтня описує помилку як неналежну нейтралізацію спеціальних елементів у шаблонному рушії, що призводить до виконання коду. Sansec уточнює: це ін'єкція директив у процесі «другого проходу» обробки шаблонів, коли вміст дочірнього email-шаблону зловмисника повторно підписується й виконується на кореневому рівні, активуючи приховану директиву {{block}}.
Кого зачіпає
- Версії Adobe Commerce і Magento Open Source вересня — до 2.4.9 включно;
- Adobe Commerce B2B — до 1.5.3 включно.
На думку Sansec, BlockStrap фактично оголює прогалину, що лишилася після виправлення StyleSmuggler у тому самому рушії email-шаблонів.
Що робити адміністраторам
Sansec наголошує, що звичайного оновлення через Composer недостатньо: потрібно встановити реліз 2026-oct або застосувати окремий ізольований патч Adobe. Важливо також зберегти вересневий хотфікс VULN-39341: «BlockStrap і StyleSmuggler — окремі виправлення, потрібні обидва».
Перспектива загроз
Попри відсутність підтверджених атак на момент публікації, Sansec очікує швидку появу масових хвиль зловживань і пообіцяла оновити попередження, щойно зафіксує такі спроби. Компанія вважає, що складний ланцюг атаки не стане суттєвою перепоною — патч можна відносно швидко реверс-інженерити у робочі експлойти.
Фото: BleepingComputer
