Kritische BlockStrap-Sicherheitslücke gefährdet Magento-Server

Die BlockStrap-Sicherheitslücke könnte Angreifern ermöglichen, beliebigen PHP-Code auf Servern auszuführen, auf denen Magento Open Source und Adobe Commerce betrieben werden. Forscher warnen, dass Shop-Betreiber den verfügbaren Sicherheitspatch umgehend installieren sollten, obwohl bislang keine Angriffe beobachtet wurden.

Die als CVE-2026-103849 registrierte Schwachstelle hat den höchsten Schweregrad und betrifft die E-Mail-Template-Engine der Plattformen. Das Sicherheitsunternehmen Sansec identifizierte innerhalb von 24 Stunden vier potenzielle Angriffswege. Dies weckt Bedenken, dass Angreifer schnell funktionsfähige Exploits entwickeln könnten.

Welche Versionen von Magento und Adobe Commerce sind betroffen?

Laut der Sicherheitsmitteilung gehören zu den betroffenen September-Versionen Adobe Commerce und Magento Open Source bis einschließlich Version 2.4.9. Auch Adobe Commerce B2B bis einschließlich Version 1.5.3 ist betroffen.

Adobe veröffentlichte seine Sicherheitsmitteilung am 13. Oktober. Darin beschreibt das Unternehmen eine Schwachstelle in der Template-Engine, die zur Ausführung beliebigen Codes führen kann.

Sansec widerspricht jedoch Adobes Einstufung als Priorität 2, die eine Installation des Sicherheitspatches innerhalb von 30 Tagen empfiehlt. Die Forscher argumentieren, dass die möglichen Folgen und die Geschwindigkeit der Exploit-Entwicklung schnellere Maßnahmen rechtfertigen.

Obwohl der Angriff eine komplexe Abfolge von Schritten erfordert, geht Sansec davon aus, dass Angreifer KI-Tools einsetzen könnten, um den Patch mittels Reverse Engineering zu analysieren und die Entwicklungszeit zu verkürzen.

Verarbeitung von E-Mail-Vorlagen eröffnet einen Angriffsweg

Die BlockStrap-Sicherheitslücke betrifft Inhalte, die mehrmals durch die E-Mail-Template-Engine verarbeitet werden.

Sansec erklärt, dass von Angreifern kontrollierte Inhalte innerhalb einer untergeordneten E-Mail-Vorlage eine gültige Signatur erhalten können, bevor die Engine sie erneut verarbeitet. Bei diesem zweiten Durchlauf könnte das System eine versteckte Block-Direktive als Anweisung interpretieren.

Dadurch können Inhalte, die eigentlich als Daten behandelt werden sollten, die Ausführung der Vorlage beeinflussen und möglicherweise die Ausführung von PHP-Code auf dem Server auslösen.

Die Forscher beschreiben das Problem als eine Schwachstelle, die nach der früheren StyleSmuggler-Korrektur bestehen geblieben ist. Beide Sicherheitslücken betreffen dieselbe E-Mail-Template-Engine, erfordern jedoch jeweils einen eigenen Patch.

Forscher warnen vor einer möglichen schnellen Ausnutzung

Zum Zeitpunkt des Sansec-Berichts hatten die Forscher keine Angriffe beobachtet, die CVE-2026-103849 ausnutzten. Dennoch führte die Entdeckung mehrerer potenzieller Angriffswege zu einer dringenden Warnung.

Zum Vergleich verwies Sansec auf die kürzlich entdeckte StyleSmuggler-Schwachstelle. Bei diesem Problem vergingen zwischen der Veröffentlichung eines Notfallpatches und einer weitverbreiteten Ausnutzung lediglich drei Tage.

Die Forscher halten BlockStrap für ähnlich komplex. Daher warnen sie davor, das Fehlen erkannter Angriffe als Grund für die Verzögerung von Updates zu betrachten.

Allerdings bleibt ihre Warnung eine Prognose. Der Bericht belegt nicht, dass Angreifer bereits einen funktionsfähigen BlockStrap-Exploit entwickelt oder eingesetzt haben.

Online-Shops benötigen den Oktober-Patch und den September-Hotfix

Adobes Korrektur verändert die Verarbeitung der betroffenen Inhalte durch die Template-Engine. Sie verwendet registrierte Platzhalter anstelle einer allgemeinen Verarbeitung, um das anfällige Verhalten zu verhindern.

Laut Sansec reicht eine standardmäßige Installation mit Composer allein nicht aus, um das Risiko zu beseitigen. Administratoren müssen die Version 2026-oct oder Adobes separaten Sicherheitspatch installieren.

Außerdem müssen sie den September-Hotfix VULN-39341 für StyleSmuggler beibehalten. Die Oktober-Korrektur für BlockStrap behebt ein separates Problem und macht den früheren Schutz nicht überflüssig.

Sansec erklärte, dass das Unternehmen weitere Erkenntnisse veröffentlichen werde, falls es weitverbreitete Angriffe feststellt. Bis dahin empfiehlt es, die erforderlichen Sicherheitskorrekturen zu installieren, bevor die Ausnutzung beginnt.