У Magento та Adobe Commerce виявили критичну вразливість BlockStrap
У Magento та Adobe Commerce виявили критичну вразливість BlockStrap, що потенційно дає змогу виконувати PHP-код на серверах магазинів.
Дослідники попередили про критичну вразливість CVE-2026-103849 у Magento та Adobe Commerce, яка потенційно дозволяє зловмисникам виконувати довільний PHP-код на серверах інтернет-магазинів. У компанії Sansec зазначили, що атак із використанням цієї помилки наразі не зафіксували, однак очікують, що зловмисники зможуть знайти спосіб її експлуатації.
Які версії зазнали впливу
Вразливість, яку Sansec назвала BlockStrap, стосується вересневих версій Adobe Commerce і Magento Open Source до 2.4.9 включно, а також Adobe Commerce B2B до версії 1.5.3. Як повідомляє BleepingComputer, дослідники виявили чотири потенційні шляхи атаки менш ніж за 24 години.
Adobe у бюлетені від 13 жовтня описала проблему як некоректну нейтралізацію спеціальних елементів у рушії шаблонів, що може призвести до виконання довільного коду. За поясненням Sansec, BlockStrap пов’язана з ін’єкцією директиви рушія шаблонів під час повторної обробки вмісту дочірнього шаблону електронного листа на кореневому рівні.
Оновлення та окремий патч
Sansec вважає, що оцінка Adobe «пріоритет 2», яка передбачає випуск виправлення протягом 30 днів, не відображає терміновості ризику. Компанія зазначає, що складний шлях атаки можна відтворити за допомогою ШІ-агентів, проаналізувавши патч.
Виправлення Adobe замінює загальну обробку зареєстрованими заповнювачами, що має унеможливити експлуатацію. Sansec наголосила, що простого встановлення через Composer недостатньо: адміністраторам сайтів слід застосувати жовтневий реліз 2026 року або окремий патч Adobe. Також компанія закликала не прибирати вересневий хотфікс VULN-39341 для іншої вразливості StyleSmuggler, оскільки це два окремі виправлення.
