Уязвимость BlockStrap с максимальной оценкой серьёзности может дать атакующему возможность выполнить произвольный PHP-код на сервере интернет-магазина с Magento или Adobe Commerce. Пока массовых атак не зафиксировано, но окно для них, по оценке исследователей, может открыться быстро: патч уже доступен, а его анализ способен подсказать злоумышленникам рабочую цепочку эксплуатации.
Проблема получила идентификатор CVE-2026-103849 и затрагивает сентябрьские версии Magento Open Source и Adobe Commerce до 2.4.9 включительно, а также Adobe Commerce B2B до 1.5.3. Как сообщает BleepingComputer, Adobe выпустила бюллетень 13 октября, однако специалисты компании Sansec считают назначенный вендором приоритет недостаточным для реального уровня риска.
Adobe классифицировала исправление как priority 2 — то есть обновление должно быть установлено в течение 30 дней. Sansec с такой оценкой не согласна. Исследователи нашли четыре потенциальных пути атаки менее чем за сутки и предупреждают: сложность эксплуатации больше не означает месяцы форы для защитников. Разобрать патч и воспроизвести поведение уязвимого кода теперь может не только команда реверс-инженеров, но и злоумышленник, использующий ИИ-инструменты для анализа изменений.
Технически уязвимость BlockStrap связана с обработкой почтовых шаблонов. Атакующий может внедрить контролируемое содержимое в дочерний email-шаблон так, чтобы оно было подписано и затем повторно обработано уже на верхнем уровне. Во время второго прохода движок способен выполнить спрятанную директиву {{block}}. Результат — выполнение кода, который атакующий смог протащить через шаблонный механизм.
Для магазинов это неприятный класс дефекта. Компрометация веб-приложения с выполнением PHP-кода обычно не ограничивается испорченной вёрсткой письма: атакующий потенциально получает точку опоры для установки бэкдора, кражи данных, модификации платёжных сценариев или дальнейшего движения по инфраструктуре. Конкретный ущерб зависит от прав процесса, конфигурации сервера и сегментации, но рассчитывать, что инцидент останется внутри одного шаблона, не стоит.
BlockStrap продолжает историю другой проблемы в том же движке email-шаблонов — StyleSmuggler. По данным Sansec, новый дефект использует пробел, оставшийся после предыдущего исправления. Для администраторов здесь важна не только техническая генеалогия, но и практическое следствие: эти исправления не заменяют друг друга. Сентябрьский hotfix VULN-39341, закрывавший StyleSmuggler, нужно сохранить, а к нему добавить октябрьское обновление 2026 года либо отдельный патч Adobe для CVE-2026-103849.
Обычного запуска Composer для снижения риска недостаточно, предупреждает Sansec. Командам, которые поддерживают Magento самостоятельно или через подрядчика, стоит проверить фактически установленный релиз, наличие обоих исправлений и процедуру выкладки в production. Заодно имеет смысл пересмотреть доступ к административным учётным записям и журналирование действий в панели управления: даже сложная цепочка атаки становится куда опаснее, если у злоумышленника уже есть валидные credentials.
Для российских e-commerce-команд это ещё один повод не откладывать патчи «до следующего окна». Magento-магазины нередко обрастают кастомными модулями и интеграциями, поэтому обновление требует проверки совместимости. Но тестирование патча в staging обычно дешевле расследования инцидента на витрине, где одновременно находятся заказы, персональные данные и репутация бренда. Стоит заранее определить владельца задачи, зафиксировать версию платформы и убедиться, что резервные копии действительно можно восстановить.
Sansec обещает сообщить отдельно, когда заметит массовые волны атак, и ожидает их в ближайшее время. Главный вопрос теперь не в том, появится ли публичный эксплойт, а в том, сколько Magento-инсталляций успеют закрыть уязвимость BlockStrap до того, как анализ октябрьского патча превратится в готовый сценарий атаки.