В Magento и Adobe Commerce обнаружили критическую уязвимость BlockStrap с максимальной оценкой 10,0 балла. Ошибка позволяет атакующему без учётной записи выполнить произвольный PHP-код на сервере интернет-магазина. Adobe выпустила исправление, но обычная установка через Composer не устраняет проблему.
Уязвимость CVE-2026-103849 затрагивает Magento Open Source и Adobe Commerce вплоть до версии 2.4.9, а также Adobe Commerce B2B до версии 1.5.3 включительно. Специалисты Sansec за сутки воспроизвели четыре самостоятельных способа эксплуатации. Для успешной атаки не требуется входить в административную панель или заставлять сотрудника магазина открывать вредоносную ссылку.
Проблема скрывается в механизме обработки шаблонов электронной почты. Magento использует шаблоны для формирования уведомлений о заказах, платежах и других событиях. При определённых условиях система повторно обрабатывает содержимое шаблона, из-за чего данные, подконтрольные злоумышленнику, могут превратиться в исполняемые инструкции. В результате атакующий получает возможность запустить PHP-код на сервере магазина.
В опубликованном 15 октября исследовании BlockStrap специалисты Sansec объяснили, что атака использует повторную интерпретацию директив шаблонизатора. Вредоносная конструкция, попавшая во вложенный шаблон, проходит промежуточную обработку и затем повторно разбирается на верхнем уровне. На заключительном этапе Magento может выполнить внедрённую директиву {{block}}, которую система ошибочно принимает за допустимую часть шаблона.
Подобный механизм создаёт угрозу не только для работы интернет-магазина, но и для хранящихся на сервере сведений. Выполнение произвольного PHP-кода потенциально позволяет злоумышленнику читать доступные приложению файлы, взаимодействовать с базой данных, изменять содержимое магазина или устанавливать вредоносные компоненты. Конкретные последствия зависят от прав серверного процесса и конфигурации инфраструктуры.
Adobe закрыла уязвимость 13 октября в бюллетене APSB26-153. Проблему обнаружил исследователь под псевдонимом vozec. Несмотря на максимальную оценку по шкале CVSS, производитель присвоил обновлению приоритет 2. Такая категория предполагает установку исправления в течение 30 дней. Специалисты Sansec считают подобный срок слишком большим с учётом возможности быстро разработать работающие эксплойты.
Главная сложность для администраторов связана со способом распространения патча. Стандартная установка Magento через менеджер зависимостей Composer может загрузить базовую версию с уязвимым кодом. Для защиты необходимо применить октябрьский выпуск 2026-oct либо отдельное исправление Adobe. Сам факт успешного обновления зависимостей не гарантирует, что опасная функция перестала работать.
Для Magento Open Source публичные октябрьские патчи доступны к версиям 2.4.7-p10, 2.4.8-p5 и 2.4.9. Владельцам магазинов на Magento Open Source 2.4.6 и более ранних выпусках потребуется перейти как минимум на 2.4.7-p10, поскольку исправления для старых веток доступны только при наличии лицензии Adobe Commerce. Отдельные изменения затрагивают также производную платформу Mage-OS, где защита вошла в версию 3.6.0 от 14 октября.
Администраторам стоит проверить не только номер установленной версии, но и наличие исправленного кода. Sansec предлагает искать функцию resolveDeferredDirectives в файле vendor/magento/framework/Filter/Template.php. Октябрьский патч добавляет соответствующий механизм обработки директив. Отсутствие функции указывает на то, что исправление BlockStrap не применено. Исследователи предупреждают, что некоторые сценарии развёртывания могут пропускать неудачно применённые изменения без остановки процесса установки.
Дополнительный риск связан с предыдущей критической уязвимостью StyleSmuggler, получившей идентификатор CVE-2026-75650. В сентябре злоумышленники использовали похожую ошибку в обработке шаблонов для удалённого выполнения PHP-кода. Adobe выпустила экстренное исправление VULN-39341 7 сентября, однако новый вариант атаки способен обойти защитный механизм, добавленный тогда в Magento.
Сентябрьский патч проверял доверенные директивы с помощью специальной подписи. BlockStrap использует ситуацию, когда подконтрольное атакующему содержимое во вложенном шаблоне получает такую подпись и затем повторно обрабатывается основным шаблоном. Октябрьское исправление меняет подход к повторному разбору содержимого и заменяет его работой с заранее зарегистрированными заполнителями.
При этом октябрьское обновление не содержит сентябрьский патч StyleSmuggler. Adobe отдельно предупреждает, что администраторам необходимо установить оба исправления. Защита от BlockStrap не закрывает автоматически CVE-2026-75650, а применение только сентябрьского патча оставляет возможность эксплуатации новой уязвимости.
Октябрьский бюллетень Adobe включает ещё десять уязвимостей, причём пять ошибок из общего набора получили критический уровень опасности. Среди них CVE-2026-92909 с оценкой 9,8 балла, также допускающая удалённое выполнение кода без аутентификации в Adobe Commerce B2B. Для Magento Open Source 2.4.8-p5 производителю пришлось дополнительно скорректировать октябрьский пакет, поскольку первоначальный вариант не содержал отдельного изменения для CVE-2026-91013.
По состоянию на 15 октября Sansec не обнаружила подтверждённых атак BlockStrap на действующие интернет-магазины. Adobe также заявляет, что не располагает сведениями об эксплуатации уязвимостей октябрьского бюллетеня в реальных условиях. Однако специалисты напоминают, что предыдущую ошибку StyleSmuggler злоумышленники начали активно использовать ещё до выхода официального исправления. Быстрое воспроизведение четырёх вариантов BlockStrap усиливает опасения по поводу появления новых атак.
Владельцам интернет-магазинов рекомендуют установить оба исправления, проверить фактическое состояние файлов Magento и просканировать серверы на наличие постороннего кода и скрытых точек доступа. До завершения обновления специализированные средства фильтрации HTTP-запросов могут снизить риск эксплуатации, но не заменяют исправление уязвимого механизма шаблонов. Главная опасность BlockStrap заключается в том, что даже недавно установленный или формально обновлённый магазин может оставаться открытым для удалённого выполнения кода.