BlockStrap-sårbarheten kan göra det möjligt för angripare att köra godtycklig PHP-kod på servrar som använder Magento Open Source och Adobe Commerce. Forskare varnar för att butiksoperatörer bör installera den tillgängliga säkerhetsuppdateringen snarast, trots att inga attacker ännu har observerats.
Den maximalt allvarliga sårbarheten, registrerad som CVE-2026-103849, påverkar plattformarnas motor för e-postmallar. Säkerhetsföretaget Sansec identifierade fyra potentiella angreppsvägar inom 24 timmar, vilket väcker oro för att angripare snabbt kan utveckla fungerande exploateringsmetoder.
Vilka versioner av Magento och Adobe Commerce påverkas?
Enligt säkerhetsmeddelandet omfattar de drabbade septemberversionerna Adobe Commerce och Magento Open Source till och med version 2.4.9. Även Adobe Commerce B2B till och med version 1.5.3 påverkas.
Adobe publicerade sitt säkerhetsmeddelande den 13 oktober. Där beskrivs en sårbarhet i mallmotorn som kan leda till exekvering av godtycklig kod.
Sansec ifrågasätter dock Adobes klassificering som prioritet 2, vilken rekommenderar att säkerhetsuppdateringen installeras inom 30 dagar. Forskarna anser att de potentiella konsekvenserna och hastigheten i utvecklingen av exploateringsmetoder motiverar snabbare åtgärder.
Även om attacken kräver en komplex sekvens tror Sansec att angripare kan använda AI-verktyg för att bakåtkompilera säkerhetsuppdateringen och förkorta utvecklingstiden.
Hantering av e-postmallar skapar en angreppsväg
BlockStrap-sårbarheten handlar om innehåll som passerar genom motorn för e-postmallar mer än en gång.
Sansec förklarar att innehåll som kontrolleras av angripare i en underordnad e-postmall kan få en giltig signatur innan motorn behandlar det igen. Under den andra bearbetningen kan systemet tolka ett dolt blockdirektiv som en instruktion.
Därmed kan innehåll som borde förbli data påverka exekveringen av mallen och potentiellt utlösa PHP-kod på servern.
Forskarna beskriver problemet som en kvarstående brist efter den tidigare korrigeringen av StyleSmuggler. Båda sårbarheterna berör samma motor för e-postmallar, men var och en kräver en separat säkerhetsuppdatering.
Forskare varnar för att attacker snabbt kan följa
När Sansec publicerade sin rapport hade forskarna inte observerat några attacker som utnyttjade CVE-2026-103849. Upptäckten av flera potentiella angreppsvägar ledde ändå till en brådskande varning.
Som jämförelse hänvisade Sansec till den nyligen upptäckta StyleSmuggler-sårbarheten. Det problemet gick från en akut säkerhetskorrigering till omfattande exploatering inom tre dagar.
Forskarna bedömer att BlockStrap är ungefär lika komplex. Därför varnar de för att använda avsaknaden av upptäckta attacker som ett skäl att skjuta upp uppdateringar.
Varningen är dock fortfarande en prognos. Rapporten fastställer inte att angripare redan har utvecklat eller distribuerat en fungerande exploateringsmetod för BlockStrap.
Butiker behöver oktoberuppdateringen och septemberkorrigeringen
Adobes korrigering förändrar hur mallmotorn hanterar det berörda innehållet. Den använder registrerade platshållare i stället för generell bearbetning för att förhindra det sårbara beteendet.
Enligt Sansec räcker det inte att enbart genomföra en standardinstallation med Composer för att undanröja risken. Administratörer måste installera 2026-oct-versionen eller Adobes separata säkerhetskorrigering.
De måste också behålla septemberkorrigeringen VULN-39341 för StyleSmuggler. Oktoberkorrigeringen för BlockStrap åtgärdar ett separat problem och ersätter inte behovet av det tidigare skyddet.
Sansec uppger att företaget kommer att publicera ytterligare resultat om det upptäcker omfattande attacker. Tills vidare är rekommendationen att installera de nödvändiga korrigeringarna innan exploateringen börjar.
0 svar till ”Kritisk BlockStrap-sårbarhet utsätter Magento-servrar för risk”