BlockStrap in Magento e Adobe Commerce: RCE via template email

Il 13 ottobre 2026 Adobe ha pubblicato il bollettino APSB26-153, che corregge CVE-2026-103849 in Adobe Commerce e Magento Open Source. La vulnerabilità, chiamata BlockStrap dai ricercatori di Sansec, società specializzata nella sicurezza dell’e-commerce, permette di eseguire codice arbitrario sul server del negozio online. Nel National Vulnerability Database (NVD) ha il punteggio massimo, CVSS 10.0, assegnato da Adobe.

Il 19 ottobre il Centre for Cybersecurity Belgium (CCB) ha pubblicato un avviso che invita ad aggiornare subito Adobe Commerce e Magento Open Source. Il testo dell’avviso non era consultabile al momento della stesura: di seguito i dettagli tecnici vengono da NVD e, attraverso BleepingComputer, dall’analisi di Sansec.

Cosa si sa

• CVE: CVE-2026-103849, debolezza CWE-1336 (neutralizzazione impropria di elementi speciali usati in un motore di template).
• Gravità: CVSS 3.1 10.0, vettore AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: sfruttabile dalla rete, senza credenziali e senza interazione dell’utente, con cambio di ambito (scope changed). Al momento NVD ha la scheda «in analisi».
• Effetto: secondo la descrizione di NVD, esecuzione di codice arbitrario nel contesto dell’utente corrente, con possibile accesso elevato o controllo dell’account o della sessione della vittima. BleepingComputer, riportando Sansec, parla di esecuzione di codice PHP arbitrario sui server dei negozi.
• Versioni colpite: secondo BleepingComputer, le versioni di settembre di Adobe Commerce e Magento Open Source fino alla 2.4.9 e Adobe Commerce B2B fino alla 1.5.3. L’elenco preciso delle versioni e delle patch è nel bollettino APSB26-153 di Adobe.
• Sfruttamento: al 16 ottobre, data dell’articolo di BleepingComputer, Sansec non aveva osservato attacchi. Le fonti disponibili non riportano sfruttamenti successivi.

Come funziona l’attacco

Secondo l’analisi di Sansec riportata da BleepingComputer, BlockStrap è un’iniezione di direttive in un secondo passaggio del motore dei template delle email. Un contenuto controllato dall’attaccante, inserito in un template email «figlio», viene firmato ed elaborato di nuovo al livello principale: così una direttiva {{block}} introdotta di nascosto viene eseguita.

Sansec collega BlockStrap a StyleSmuggler, una vulnerabilità precedente dello stesso motore dei template email: BlockStrap sfrutta un varco lasciato dalla correzione di StyleSmuggler. La correzione di Adobe sostituisce l’elaborazione generica con segnaposto registrati, e questo impedisce lo sfruttamento.

Nella classificazione MITRE ATT&CK lo scenario rientra nello sfruttamento di un’applicazione esposta su Internet (T1190, Exploit Public-Facing Application).

Le fonti non concordano sull’urgenza

Adobe ha assegnato al problema la priorità 2, che indica un aggiornamento entro 30 giorni. Sansec contesta questa valutazione: il percorso di attacco è complesso, ma secondo i ricercatori chiunque abbia un agente di intelligenza artificiale può ricavare exploit funzionanti dalla patch in tempi relativamente brevi. Sansec dice di aver individuato quattro possibili percorsi di attacco in meno di 24 ore e ricorda che StyleSmuggler è passata da hotfix di priorità 1 a sfruttamento di massa in tre giorni, con una complessità simile. Per questo si aspetta ondate di attacchi a breve.

Anche il vettore CVSS pubblicato da NVD indica una complessità d’attacco bassa (AC:L), mentre Sansec descrive il percorso come complesso. L’avviso del CCB, già dal titolo, chiede di aggiornare immediatamente.

Tra i riferimenti della scheda NVD compare anche un repository pubblico su GitHub dedicato alla vulnerabilità, con «blockstrap-lab» nel nome. Non lo abbiamo analizzato, ma la presenza di materiale tecnico pubblico è un motivo in più per non aspettare.

Perché conta per le aziende europee e italiane

Magento e Adobe Commerce sono usati da molti negozi online, anche in Italia, spesso gestiti da agenzie o fornitori di hosting esterni. L’esecuzione di codice sul server del negozio dà accesso a ordini, dati dei clienti e pagine del sito, comprese quelle del pagamento.

Se un attacco porta a una violazione di dati personali, scattano gli obblighi del GDPR, con la notifica al Garante entro 72 ore quando ci sono rischi per le persone. I marketplace online rientrano tra i fornitori digitali della NIS2: per loro la gestione di questa vulnerabilità va documentata e un eventuale incidente significativo va valutato ai fini della notifica al CSIRT Italia dell’ACN.

Cosa fare subito

1. Fai l’inventario delle installazioni di Magento Open Source, Adobe Commerce e Adobe Commerce B2B, comprese quelle di test e quelle gestite da agenzie o fornitori, con le versioni esatte.
2. Applica la release di sicurezza di ottobre 2026 (2026-oct) o la patch isolata di Adobe. Secondo Sansec una semplice installazione con Composer non basta per eliminare il rischio.
3. Tieni anche la correzione di StyleSmuggler: Sansec avverte che sono due correzioni separate e servono entrambe, quindi l’hotfix di settembre VULN-39341 deve restare installato.
4. Se non puoi aggiornare subito, chiedi al fornitore come proteggere il negozio fino alla patch e tieni sotto osservazione il server con più attenzione del solito.
5. Cerca segni di compromissione: nuovi file PHP o file modificati nella cartella del sito, amministratori creati di recente, modifiche inattese ai template email (anche nel database) e richieste anomale nei log del server web. Le fonti non hanno pubblicato indicatori di compromissione.
6. Segui gli aggiornamenti di Adobe e di Sansec: Sansec ha annunciato che darà notizia delle prime ondate di attacchi.

Come aiuta ARXDOME

ARX Expose mostra i servizi pubblici della tua azienda e i prodotti riconosciuti, utile per trovare i negozi online esposti. ARX Shield elenca le vulnerabilità aperte per macchina e per pacchetto sui server con l’agent, e le modifiche ai file di ARX Trace dicono cosa è cambiato e dove: aiutano a capire se sul server del negozio sono comparsi file nuovi dopo la pubblicazione della vulnerabilità.

Ultimo aggiornamento: 19 ottobre 2026