Критическая уязвимость BlockStrap угрожает серверам Magento

Специалисты по безопасности электронной коммерции из компании Sansec предупредили о критической уязвимости CVE-2026-103849, затрагивающей Magento и Adobe Commerce. Брешь, получившая название BlockStrap, теоретически позволяет злоумышленникам выполнять произвольный PHP-код на серверах интернет-магазинов.

Атак с использованием этой уязвимости пока не зафиксировано, однако исследователи уверены, что преступники вскоре найдут способ ею воспользоваться. Основанием для такого прогноза стало то, что аналитики Sansec менее чем за сутки обнаружили четыре возможных сценария атаки.

Что под угрозой

Уязвимость затрагивает сентябрьские версии Adobe Commerce и Magento Open Source вплоть до 2.4.9, а также Adobe Commerce B2B вплоть до 1.5.3. В бюллетене Adobe от 13 октября брешь описана как некорректная нейтрализация специальных символов в шаблонизаторе, ведущая к выполнению произвольного кода.

По объяснению Sansec, BlockStrap представляет собой инъекцию директивы шаблонизатора на втором проходе обработки: контролируемое атакующим содержимое дочернего почтового шаблона подписывается и повторно обрабатывается на корневом уровне, из-за чего исполняется «протащенная» директива {{block}}.

Почему эксперты встревожены

Sansec критикует Adobe за присвоенный уязвимости рейтинг «приоритет 2», который предписывает устанавливать патч в течение 30 дней. По мнению компании, этот рейтинг не отражает реальной опасности. Хотя путь атаки сложен, «любой, у кого есть ИИ-агент, способен за относительно короткое время превратить патч в рабочий эксплойт», отмечают исследователи.

В качестве тревожного прецедента приводится другая брешь — StyleSmuggler, которая прошла путь от экстренного исправления уровня «приоритет 1» до массовой эксплуатации всего за три дня. BlockStrap, по оценке Sansec, обладает схожей сложностью, а сама уязвимость обнажает пробел, оставленный после исправления StyleSmuggler в том же почтовом шаблонизаторе.

Что делать администраторам

Adobe закрыла брешь, заменив обобщённую обработку зарегистрированными плейсхолдерами. При этом Sansec подчёркивает, что обычной установки через Composer недостаточно: администраторам необходимо применить октябрьский релиз 2026-oct или отдельный патч Adobe.

Компания напоминает, что BlockStrap и StyleSmuggler — это раздельные исправления, поэтому требуются оба; сентябрьский хотфикс VULN-39341 следует сохранить. Sansec обещает сообщить дополнительно, когда зафиксирует волны массовых атак, которых ожидает в скором времени.

Источник: Bleeping Computer