BlockStrap-sårbarheten kan gjøre det mulig for angripere å kjøre vilkårlig PHP-kode på servere som kjører Magento Open Source og Adobe Commerce. Forskere advarer om at nettbutikker bør installere den tilgjengelige sikkerhetsoppdateringen raskt, selv om ingen angrep så langt er observert.
Den kritiske sårbarheten, registrert som CVE-2026-103849, har høyeste alvorlighetsgrad og påvirker plattformenes motor for e-postmaler. Sikkerhetsselskapet Sansec identifiserte fire potensielle angrepsveier i løpet av 24 timer, noe som vekker bekymring for at angripere raskt kan utvikle fungerende utnyttelsesmetoder.
Hvilke versjoner av Magento og Adobe Commerce er berørt?
Ifølge sikkerhetsmeldingen omfatter de berørte septemberutgivelsene Adobe Commerce og Magento Open Source til og med versjon 2.4.9. Adobe Commerce B2B til og med versjon 1.5.3 er også berørt.
Adobe publiserte sin sikkerhetsmelding 13. oktober. Den beskriver en sårbarhet i malmotoren som kan føre til kjøring av vilkårlig kode.
Sansec bestrider imidlertid Adobes klassifisering som prioritet 2, som anbefaler å installere sikkerhetsoppdateringen innen 30 dager. Forskerne mener at de potensielle konsekvensene og hastigheten på utviklingen av utnyttelsesmetoder tilsier raskere handling.
Selv om angrepet krever en kompleks sekvens, mener Sansec at angripere kan bruke AI-verktøy til å reversere sikkerhetsoppdateringen og forkorte utviklingstiden.
Behandling av e-postmaler skaper en angrepsvei
BlockStrap-sårbarheten involverer innhold som passerer gjennom motoren for e-postmaler mer enn én gang.
Sansec forklarer at angriperkontrollert innhold i en underordnet e-postmal kan få en gyldig signatur før motoren behandler det på nytt. Under denne andre behandlingen kan systemet tolke et skjult blokkdirektiv som en instruksjon.
Dermed kan innhold som skulle forbli data, påvirke kjøringen av malen og potensielt utløse PHP-kode på serveren.
Forskerne beskriver problemet som en gjenværende svakhet etter den tidligere StyleSmuggler-rettelsen. Begge sårbarhetene involverer den samme motoren for e-postmaler, men hver av dem krever sin egen sikkerhetsoppdatering.
Forskere advarer om at utnyttelse kan følge raskt
Da Sansec publiserte rapporten sin, hadde forskerne ikke observert angrep som utnyttet CVE-2026-103849. Likevel førte oppdagelsen av flere potensielle angrepsveier til en presserende advarsel.
Til sammenligning viste Sansec til den nylige StyleSmuggler-sårbarheten. Dette problemet utviklet seg fra en akutt sikkerhetsrettelse til omfattende utnyttelse i løpet av tre dager.
Forskerne vurderer BlockStrap som tilsvarende kompleks. Derfor advarer de mot å bruke fraværet av oppdagede angrep som en grunn til å utsette oppdateringer.
Advarselen er imidlertid fortsatt en prognose. Rapporten fastslår ikke at angripere allerede har utviklet eller tatt i bruk en fungerende utnyttelsesmetode for BlockStrap.
Nettbutikker trenger oktoberrettelsen og septemberoppdateringen
Adobes rettelse endrer hvordan malmotoren håndterer det berørte innholdet. Den bruker registrerte plassholdere i stedet for generell behandling for å forhindre den sårbare oppførselen.
Ifølge Sansec er det ikke tilstrekkelig å gjennomføre en standardinstallasjon med Composer alene for å fjerne risikoen. Administratorer må installere 2026-oct-utgivelsen eller Adobes separate sikkerhetsrettelse.
De må også beholde septemberrettelsen VULN-39341 for StyleSmuggler. Oktoberrettelsen for BlockStrap løser et separat problem og fjerner ikke behovet for den tidligere beskyttelsen.
Sansec opplyser at selskapet vil publisere ytterligere funn dersom det oppdager omfattende angrep. Foreløpig er anbefalingen å installere de nødvendige rettelsene før utnyttelsen begynner.
0 responses to “Kritisk BlockStrap-sårbarhet setter Magento-servere i fare”