BlockStrap-sårbarheden kan give angribere mulighed for at køre vilkårlig PHP-kode på servere, der anvender Magento Open Source og Adobe Commerce. Forskere advarer om, at webshopoperatører bør installere den tilgængelige sikkerhedsrettelse hurtigst muligt, selvom der endnu ikke er observeret angreb.
Den kritiske sårbarhed, der er registreret som CVE-2026-103849, har den højeste alvorlighedsgrad og påvirker platformenes motor til e-mailskabeloner. Sikkerhedsfirmaet Sansec identificerede fire potentielle angrebsveje inden for 24 timer, hvilket vækker bekymring for, at angribere hurtigt kan udvikle fungerende udnyttelsesmetoder.
Hvilke versioner af Magento og Adobe Commerce er berørt?
Ifølge sikkerhedsmeddelelsen omfatter de berørte septemberudgivelser Adobe Commerce og Magento Open Source til og med version 2.4.9. Adobe Commerce B2B til og med version 1.5.3 er også berørt.
Adobe offentliggjorde sin sikkerhedsmeddelelse den 13. oktober. Den beskriver en sårbarhed i skabelonmotoren, som kan føre til eksekvering af vilkårlig kode.
Sansec bestrider dog Adobes klassificering som prioritet 2, der anbefaler at installere sikkerhedsrettelsen inden for 30 dage. Forskerne mener, at de potentielle konsekvenser og hastigheden af udviklingen af udnyttelsesmetoder kræver hurtigere handling.
Selvom angrebet kræver en kompleks sekvens, mener Sansec, at angribere kan bruge AI-værktøjer til at reverse-engineere sikkerhedsrettelsen og forkorte udviklingstiden.
Behandling af e-mailskabeloner skaber en angrebsvej
BlockStrap-sårbarheden involverer indhold, der passerer gennem motoren til e-mailskabeloner mere end én gang.
Sansec forklarer, at angriberkontrolleret indhold i en underordnet e-mailskabelon kan modtage en gyldig signatur, før motoren behandler det igen. Under denne anden behandling kan systemet fortolke et skjult blokdirektiv som en instruktion.
Dermed kan indhold, der burde forblive data, påvirke eksekveringen af skabelonen og potentielt udløse PHP-kode på serveren.
Forskerne beskriver problemet som en tilbageværende svaghed efter den tidligere StyleSmuggler-rettelse. Begge sårbarheder involverer den samme motor til e-mailskabeloner, men hver af dem kræver sin egen sikkerhedsrettelse.
Forskere advarer om, at udnyttelse hurtigt kan følge
På tidspunktet for Sansecs rapport havde forskerne ikke observeret angreb, der udnyttede CVE-2026-103849. Ikke desto mindre førte opdagelsen af flere potentielle angrebsveje til en presserende advarsel.
Til sammenligning henviste Sansec til den nylige StyleSmuggler-sårbarhed. Dette problem udviklede sig fra en akut sikkerhedsrettelse til omfattende udnyttelse inden for tre dage.
Forskerne vurderer, at BlockStrap er tilsvarende kompleks. Derfor advarer de mod at betragte fraværet af registrerede angreb som en grund til at udskyde opdateringer.
Advarslen er dog fortsat en prognose. Rapporten fastslår ikke, at angribere allerede har udviklet eller taget en fungerende udnyttelsesmetode til BlockStrap i brug.
Webshops har brug for oktoberrettelsen og septemberhotfixet
Adobes rettelse ændrer, hvordan skabelonmotoren håndterer det berørte indhold. Den anvender registrerede pladsholdere i stedet for generel behandling for at forhindre den sårbare adfærd.
Ifølge Sansec er det ikke tilstrækkeligt blot at gennemføre en standardinstallation med Composer for at fjerne risikoen. Administratorer skal installere 2026-oct-udgivelsen eller Adobes separate sikkerhedsrettelse.
De skal også beholde septemberhotfixet VULN-39341 til StyleSmuggler. Oktoberrettelsen til BlockStrap løser et separat problem og fjerner ikke behovet for den tidligere beskyttelse.
Sansec oplyser, at virksomheden vil offentliggøre yderligere resultater, hvis den opdager omfattende angreb. Indtil videre er anbefalingen at installere de nødvendige rettelser, før udnyttelsen begynder.
0 svar til “Kritisk BlockStrap-sårbarhed bringer Magento-servere i fare”