BlockStrap: вразливість на 10 балів у Magento, яку Adobe дозволила латати місяць
Adobe закрила в Magento і Adobe Commerce вразливість CVE-2026-103849, через яку можна виконати довільний PHP-код на сервері магазину без входу в систему. Офіційно — «пріоритет 2», тобто є 30 днів. Дослідники Sansec за добу знайшли чотири робочі шляхи атаки й радять не чекати.
Дві критичні діри в одному й тому самому місці за шість тижнів — так виглядає осінь для власників магазинів на Magento. У вересні Adobe терміново латала StyleSmuggler, вразливість у рушії email-шаблонів, яку за три дні почали масово експлуатувати. Тепер у тому ж рушії знайшли BlockStrap.
Що сталося
13 жовтня Adobe опублікувала бюлетень APSB26-153 з виправленням CVE-2026-103849. Це помилка обробки спеціальних елементів у шаблонізаторі, яка веде до виконання довільного коду. За оцінкою Sansec, вразливість має 10 балів CVSS і не потребує автентифікації.
Технічно BlockStrap — це «друге проходження» шаблонізатора. Вересневий хотфікс для StyleSmuggler підписує довірені директиви, але дані, які контролює нападник, у дочірньому шаблоні все одно можуть бути підписані й повторно оброблені на верхньому рівні. Так у систему «проноситься» директива {{block}}. Жовтневий патч Adobe прибирає саме це повторне сканування.
Які версії вразливі
- Adobe Commerce і Magento Open Source до 2.4.9 включно (вересневі випуски);
- Adobe Commerce B2B до 1.5.3 включно;
- Mage-OS до 3.5.0 (виправлено в 3.6.0).
Публічні жовтневі патчі вийшли для Open Source 2.4.7-p10, 2.4.8-p5 і 2.4.9. Виправлення для старіших гілок 2.4.4–2.4.6 доступні лише з ліцензією Adobe Commerce, тож магазинам на старому Open Source доведеться оновлюватися.
Чому «пріоритет 2» — погана підказка
Adobe оцінила проблему пріоритетом 2: «встановіть протягом 30 днів». Перший пріоритет компанія залишає для вразливостей, які вже атакують. Атак на BlockStrap Sansec поки не бачить, але за 24 години її фахівці відтворили чотири різні шляхи до виконання коду.
«Шлях атаки складний, але будь-хто з ШІ-агентом може перетворити патч на робочий експлойт за відносно короткий час», — пишуть у Sansec. Нагадують і прецедент: StyleSmuggler пройшов шлях від хотфікса до масової експлуатації за три дні, а BlockStrap має схожу складність.
Простіше кажучи, 30 днів — це термін для бюрократії, а не для інтернет-магазину з платіжними даними клієнтів.
Що зробити
- Встановити жовтневий випуск (
2026-oct) або окремий патч Adobe. Звичайнийcomposer installзалишає вразливу базову версію. - Не прибирати вересневий хотфікс VULN-39341 для StyleSmuggler: це два окремі виправлення, потрібні обидва.
- Перевірити, що патч справді на місці. Sansec радить пошукати рядок
resolveDeferredDirectivesу файліvendor/magento/framework/Filter/Template.php: якщо його немає, виправлення не встановлене. - Для 2.4.8-p5 окремо перевірити виправлення CVE-2026-91013 у
EmailAddress.php(Sansec описує, як саме).
Якщо магазин працює через агенцію чи підрядника, найпростіше — переслати їм номер CVE і запитати дату встановлення. Відповідь «у межах 30 днів» цього разу не годиться.
