Critical BlockStrap flaw lets hackers run code on Magento servers
BleepingComputer · 16 oct, 22:00
Qué hacer: Aplica la versión 2026-oct de Adobe o el parche aislado CVE-2026-103849 y mantén el hotfix VULN-39341 anterior para StyleSmuggler.
Una vulnerabilidad crítica (CVE-2026-103849) denominada BlockStrap afecta a Magento y Adobe Commerce, permitiendo a atacantes ejecutar código PHP arbitrario en servidores de tiendas en línea. Aunque aún no se han observado ataques, investigadores de Sansec advierten que la explotación es inminente: identificaron cuatro vectores de ataque posibles en menos de 24 horas y advierten que agentes de IA podrían invertir ingenieramente el parche en exploits funcionales.
Se trata de una inyección de directivas de motor de plantillas de segundo nivel que permite que contenido controlado por atacantes en plantillas de correo secundarias sea firmado y procesado nuevamente a nivel raíz, ejecutando una directiva {{block}} contrabandeada. Sansec critica la calificación de "prioridad 2" (parche en 30 días) de Adobe, argumentando que su complejidad es similar a StyleSmuggler, que evolucionó de un hotfix de prioridad 1 a explotación masiva en tres días. El parche de Adobe reemplaza el procesamiento genérico con marcadores de posición registrados, previniendo la explotación.
La vulnerabilidad afecta a Adobe Commerce y Magento Open Source hasta la versión 2.4.9, y Adobe Commerce B2B hasta la 1.5.3 (septiembre y posteriores). Los administradores deben aplicar tanto la versión 2026-oct como el parche aislado de Adobe, además de mantener el hotfix anterior VULN-39341 para StyleSmuggler. Sansec espera detectar olas de ataques masivos pronto.
Puntos clave
- Afecta Magento y Adobe Commerce hasta 2.4.9, y Adobe Commerce B2B hasta 1.5.3
- Inyección de directivas de motor de plantillas que permite ejecución de código PHP arbitrario
- Aplicar versión 2026-oct de Adobe y mantener parche anterior VULN-39341 para StyleSmuggler
- Explotación no observada aún, pero inminente según Sansec
Figuras de la fuente
