BlockStrap în Magento și Adobe Commerce: RCE prin șabloane email

Pe 13 octombrie 2026, Adobe a publicat buletinul de securitate APSB26-153, care corectează CVE-2026-103849 în Adobe Commerce și Magento Open Source. Vulnerabilitatea, numită BlockStrap de cercetătorii de la Sansec, companie specializată în securitatea comerțului electronic, permite executarea de cod arbitrar pe serverul magazinului online. În National Vulnerability Database (NVD) are scorul maxim, CVSS 10.0, atribuit de Adobe.

Pe 19 octombrie, Centre for Cybersecurity Belgium (CCB) a publicat un aviz care cere actualizarea imediată a Adobe Commerce și Magento Open Source. Textul avizului nu a putut fi consultat la momentul redactării: în continuare, detaliile tehnice provin din NVD și, prin BleepingComputer, din analiza Sansec.

Ce se știe

• CVE: CVE-2026-103849, slăbiciune CWE-1336 (neutralizare incorectă a elementelor speciale folosite într-un motor de șabloane).
• Gravitate: CVSS 3.1 10.0, vector AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: exploatabilă prin rețea, fără credențiale și fără interacțiunea utilizatorului, cu schimbare de domeniu (scope changed). Deocamdată NVD are fișa „în analiză”.
• Efect: potrivit descrierii NVD, executare de cod arbitrar în contextul utilizatorului curent, cu posibil acces ridicat sau control asupra contului ori sesiunii victimei. BleepingComputer, citând Sansec, vorbește despre executarea de cod PHP arbitrar pe serverele magazinelor.
• Versiuni afectate: potrivit BleepingComputer, versiunile din septembrie ale Adobe Commerce și Magento Open Source până la 2.4.9 și Adobe Commerce B2B până la 1.5.3. Lista exactă a versiunilor și a patch-urilor se află în buletinul APSB26-153 al Adobe.
• Exploatare: la 16 octombrie, data articolului BleepingComputer, Sansec nu observase atacuri. Sursele disponibile nu raportează exploatări ulterioare.

Cum funcționează atacul

Potrivit analizei Sansec preluate de BleepingComputer, BlockStrap este o injecție de directive într-o a doua trecere a motorului de șabloane email. Un conținut controlat de atacator, inserat într-un șablon email „copil”, este semnat și procesat din nou la nivelul rădăcină: astfel se execută o directivă {{block}} strecurată pe ascuns.

Sansec leagă BlockStrap de StyleSmuggler, o vulnerabilitate anterioară a aceluiași motor de șabloane email: BlockStrap exploatează o breșă lăsată de corecția pentru StyleSmuggler. Corecția Adobe înlocuiește procesarea generică cu substituenți înregistrați, ceea ce împiedică exploatarea.

În clasificarea MITRE ATT&CK, scenariul corespunde exploatării unei aplicații expuse pe internet (T1190, Exploit Public-Facing Application).

Sursele nu sunt de acord asupra urgenței

Adobe a atribuit problemei prioritatea 2, adică actualizare în 30 de zile. Sansec contestă această evaluare: calea de atac este complexă, dar, potrivit cercetătorilor, oricine are un agent de inteligență artificială poate obține exploit-uri funcționale din patch într-un timp relativ scurt. Sansec spune că a identificat patru căi de atac posibile în mai puțin de 24 de ore și amintește că StyleSmuggler a trecut de la un hotfix de prioritate 1 la exploatare în masă în trei zile, cu o complexitate similară. De aceea se așteaptă la valuri de atacuri în curând.

Și vectorul CVSS publicat de NVD indică o complexitate de atac scăzută (AC:L), în timp ce Sansec descrie calea ca fiind complexă. Avizul CCB cere, chiar din titlu, actualizarea imediată.

Printre referințele fișei NVD apare și un depozit public pe GitHub dedicat vulnerabilității, cu „blockstrap-lab” în nume. Nu l-am analizat, dar existența materialului tehnic public este încă un motiv să nu aștepți.

De ce contează pentru companiile europene și italiene

Magento și Adobe Commerce stau la baza multor magazine online, inclusiv în Italia, adesea administrate de agenții sau furnizori externi de găzduire. Executarea de cod pe serverul magazinului oferă acces la comenzi, date ale clienților și pagini ale site-ului, inclusiv cele de plată.

Dacă un atac duce la o încălcare a securității datelor cu caracter personal, se aplică obligațiile GDPR, cu notificarea autorității de supraveghere în 72 de ore atunci când există riscuri pentru persoane. Platformele de comerț online (marketplace-urile) se numără printre furnizorii digitali vizați de NIS2: pentru ele, gestionarea acestei vulnerabilități trebuie documentată, iar orice incident semnificativ trebuie evaluat în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN).

Ce să faci acum

1. Fă inventarul instalărilor Magento Open Source, Adobe Commerce și Adobe Commerce B2B, inclusiv cele de test și cele administrate de agenții sau furnizori, cu versiunile exacte.
2. Aplică versiunea de securitate din octombrie 2026 (2026-oct) sau patch-ul izolat al Adobe. Potrivit Sansec, o simplă instalare cu Composer nu este suficientă pentru a elimina riscul.
3. Păstrează și corecția pentru StyleSmuggler: Sansec avertizează că sunt două corecții separate și ai nevoie de amândouă, așa că hotfix-ul din septembrie VULN-39341 trebuie să rămână instalat.
4. Dacă nu poți actualiza imediat, întreabă-ți furnizorul cum să protejezi magazinul până la aplicarea patch-ului și monitorizează serverul mai atent decât de obicei.
5. Caută semne de compromitere: fișiere PHP noi sau modificate în directorul site-ului, administratori creați recent, modificări neașteptate ale șabloanelor email (inclusiv în baza de date) și cereri anormale în jurnalele serverului web. Sursele nu au publicat indicatori de compromitere.
6. Urmărește actualizările Adobe și Sansec: Sansec a anunțat că va semnala primele valuri de atacuri.

Cum ajută ARXDOME

ARX Expose arată serviciile publice ale companiei tale și produsele recunoscute, util pentru a găsi magazinele online expuse. ARX Shield listează vulnerabilitățile deschise pe mașină și pe pachet pe serverele cu agent, iar modificările de fișiere din ARX Trace îți spun ce s-a schimbat și unde: te ajută să vezi dacă pe serverul magazinului au apărut fișiere noi după publicarea vulnerabilității.

Ultima actualizare: 19 octombrie 2026