BlockStrap en Magento y Adobe Commerce: RCE vía plantillas email

El 13 de octubre de 2026 Adobe publicó el boletín APSB26-153, que corrige CVE-2026-103849 en Adobe Commerce y Magento Open Source. La vulnerabilidad, llamada BlockStrap por los investigadores de Sansec, empresa especializada en la seguridad del comercio electrónico, permite ejecutar código arbitrario en el servidor de la tienda online. En la National Vulnerability Database (NVD) tiene la puntuación máxima, CVSS 10.0, asignada por Adobe.

El 19 de octubre el Centre for Cybersecurity Belgium (CCB) publicó un aviso que pide actualizar de inmediato Adobe Commerce y Magento Open Source. El texto del aviso no se pudo consultar en el momento de la redacción: a continuación, los detalles técnicos proceden de NVD y, a través de BleepingComputer, del análisis de Sansec.

Lo que se sabe

• CVE: CVE-2026-103849, debilidad CWE-1336 (neutralización incorrecta de elementos especiales usados en un motor de plantillas).
• Gravedad: CVSS 3.1 10.0, vector AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: explotable por red, sin credenciales y sin interacción del usuario, con cambio de ámbito (scope changed). Por ahora NVD tiene la ficha «en análisis».
• Efecto: según la descripción de NVD, ejecución de código arbitrario en el contexto del usuario actual, con posible acceso elevado o control de la cuenta o de la sesión de la víctima. BleepingComputer, citando a Sansec, habla de ejecución de código PHP arbitrario en los servidores de las tiendas.
• Versiones afectadas: según BleepingComputer, las versiones de septiembre de Adobe Commerce y Magento Open Source hasta la 2.4.9 y Adobe Commerce B2B hasta la 1.5.3. La lista exacta de versiones y parches está en el boletín APSB26-153 de Adobe.
• Explotación: a 16 de octubre, fecha del artículo de BleepingComputer, Sansec no había observado ataques. Las fuentes disponibles no informan de explotaciones posteriores.

Cómo funciona el ataque

Según el análisis de Sansec recogido por BleepingComputer, BlockStrap es una inyección de directivas en una segunda pasada del motor de plantillas de email. Un contenido controlado por el atacante, insertado en una plantilla de email «hija», se firma y se procesa de nuevo en el nivel raíz: así se ejecuta una directiva {{block}} introducida de forma oculta.

Sansec relaciona BlockStrap con StyleSmuggler, una vulnerabilidad anterior del mismo motor de plantillas de email: BlockStrap aprovecha un hueco que dejó la corrección de StyleSmuggler. La corrección de Adobe sustituye el procesamiento genérico por marcadores registrados, lo que impide la explotación.

En la clasificación MITRE ATT&CK el escenario corresponde a la explotación de una aplicación expuesta a Internet (T1190, Exploit Public-Facing Application).

Las fuentes no coinciden sobre la urgencia

Adobe asignó al problema la prioridad 2, que indica actualizar en un plazo de 30 días. Sansec cuestiona esta valoración: la ruta de ataque es compleja, pero según los investigadores cualquiera con un agente de inteligencia artificial puede obtener exploits funcionales a partir del parche en un tiempo relativamente corto. Sansec afirma haber identificado cuatro posibles rutas de ataque en menos de 24 horas y recuerda que StyleSmuggler pasó de hotfix de prioridad 1 a explotación masiva en tres días, con una complejidad similar. Por eso espera oleadas de ataques en breve.

También el vector CVSS publicado por NVD indica una complejidad de ataque baja (AC:L), mientras que Sansec describe la ruta como compleja. El aviso del CCB pide, ya en su título, actualizar de inmediato.

Entre las referencias de la ficha de NVD figura además un repositorio público en GitHub dedicado a la vulnerabilidad, con «blockstrap-lab» en el nombre. No lo hemos analizado, pero la existencia de material técnico público es un motivo más para no esperar.

Por qué importa a las empresas europeas e italianas

Magento y Adobe Commerce mueven muchas tiendas online, también en Italia, a menudo gestionadas por agencias o proveedores de hosting externos. La ejecución de código en el servidor de la tienda da acceso a pedidos, datos de clientes y páginas del sitio, incluidas las de pago.

Si un ataque provoca una violación de datos personales, se aplican las obligaciones del RGPD, con la notificación a la autoridad de control en 72 horas cuando haya riesgo para las personas. Los mercados en línea están entre los proveedores digitales de la NIS2: para ellos, la gestión de esta vulnerabilidad debe documentarse y cualquier incidente significativo debe evaluarse para su notificación al CSIRT nacional (en Italia, el CSIRT Italia de la ACN).

Qué hacer ahora

1. Haz inventario de las instalaciones de Magento Open Source, Adobe Commerce y Adobe Commerce B2B, incluidas las de pruebas y las gestionadas por agencias o proveedores, con sus versiones exactas.
2. Aplica la versión de seguridad de octubre de 2026 (2026-oct) o el parche aislado de Adobe. Según Sansec, una simple instalación con Composer no basta para eliminar el riesgo.
3. Mantén también la corrección de StyleSmuggler: Sansec advierte que son dos correcciones distintas y necesitas ambas, así que el hotfix de septiembre VULN-39341 debe seguir instalado.
4. Si no puedes actualizar enseguida, pregunta a tu proveedor cómo proteger la tienda hasta aplicar el parche y vigila el servidor con más atención de lo habitual.
5. Busca indicios de compromiso: archivos PHP nuevos o modificados en la carpeta del sitio, administradores creados recientemente, cambios inesperados en las plantillas de email (también en la base de datos) y peticiones anómalas en los registros del servidor web. Las fuentes no han publicado indicadores de compromiso.
6. Sigue las actualizaciones de Adobe y de Sansec: Sansec ha anunciado que informará de las primeras oleadas de ataques.

Cómo ayuda ARXDOME

ARX Expose muestra los servicios públicos de tu empresa y los productos reconocidos, útil para encontrar las tiendas online expuestas. ARX Shield enumera las vulnerabilidades abiertas por máquina y por paquete en los servidores con el agente, y los cambios en archivos de ARX Trace indican qué ha cambiado y dónde: te ayudan a ver si han aparecido archivos nuevos en el servidor de la tienda desde la publicación de la vulnerabilidad.

Última actualización: 19 de octubre de 2026