Изследователи предупреждават, че хакери скоро биха могли да експлоатират уязвимост от максимална степен на опасност (CVE-2026-103849), засягаща Magento и Adobe Commerce, което потенциално им позволява да изпълняват произволен PHP код на сървърите на онлайн магазините.

Според компанията за сигурност на електронната търговия Sansec, атаки, използващи уязвимостта, наречена BlockStrap, все още не са наблюдавани, но се очаква авторите на заплахи да открият начин да я експлоатират.

Изследователите основават своята оценка на идентифицирането на четири потенциални пътя за атака, включващи CVE-2026-103849, за по-малко от 24 часа.

Дефектът засяга септемврийските версии на Adobe Commerce и Magento Open Source до 2.4.9 и Adobe Commerce B2B до 1.5.3.

Компанията за сигурност предупреди, че оценката на Adobe от „приоритет 2“ за този дефект не отразява опасността и спешността в този случай, въпреки по-сложния път на атака.

„Пътят на атака е сложен, но всеки с AI агент може да направи обратен инженеринг на корекцията за сигурност до работещи експлойти за сравнително кратко време“, заявиха от Sansec.

„Ето защо оспорваме рейтинга на Adobe за приоритет 2 (инсталиране на корекции за сигурност в рамките на 30 дни). StyleSmuggler премина от спешна корекция с приоритет 1 до масова експлоатация за три дни, а BlockStrap е с подобна сложност.“

Бюлетинът на Adobe, публикуван на 13 октомври, описва дефекта като неправилно неутрализиране на специални елементи, използвани в шаблонния механизъм, водещо до изпълнение на произволен код.

Sansec обяснява, че BlockStrap представлява директивна инжекция при второ преминаване в шаблонния механизъм, която позволява контролирано от атакуващия съдържание в дъщерен имейл шаблон да бъде подписано и обработено отново на базово ниво, изпълнявайки прокарана {{block}} директива.

Според анализа на Sansec, BlockStrap разкрива пропуск, оставен от отстраняването на StyleSmuggler в същия механизъм за имейл шаблони.

Корекцията на Adobe заменя общата обработка с регистрирани заместители, предотвратявайки експлоатацията.

От Sansec посочват, че обикновена инсталация чрез Composer не е достатъчна за справяне с риска и администраторите на уебсайтове трябва да приложат октомврийското издание за 2026 г. или изолираната корекция за сигурност от Adobe.

„BlockStrap и StyleSmuggler са отделни корекции. Нуждаете се и от двете, така че запазете и септемврийската спешна корекция VULN-39341“, предупреждава Sansec.

Компанията за сигурност в електронната търговия заявява, че ще предостави актуална информация, когато засече вълни от масови атаки, каквито очаква да настъпят скоро.

След като атакуващите получат валидни идентификационни данни, само 37% от действията им биват блокирани

Общите показатели за превенция могат да скрият какво се случва след първоначалния достъп. След като атакуващите използват валидни идентификационни данни, нивото на превенция спада рязко.

Докладът The Blue Report 2026 измерва защитите техника по техника чрез 338 милиона симулации, проведени в реални клиентски среди.