Eine Schwachstelle mit höchstem Schweregrad in Adobe Commerce und Magento Open Source könnte nicht authentifizierten Angreifern erlauben, beliebigen Code auf betroffenen Shop-Servern auszuführen. Adobe veröffentlichte am 13. Oktober 2026 eine Sicherheitsmitteilung zu CVE-2026-103849. Das geht aus einem BleepingComputer-Bericht hervor, der am 16. Oktober erschien.
Das Sicherheitsunternehmen Sansec, das die Lücke „BlockStrap“ getauft hat, erklärte, es habe keine Angriffe beobachtet, die diese Schwachstelle ausnutzen. Innerhalb von weniger als 24 Stunden identifizierte das Unternehmen allerdings vier mögliche Angriffspfade und rechnet damit, dass Bedrohungsakteure funktionierende Exploits entwickeln werden.
Im Bericht als betroffen gelistete Produkte und Versionen
Der gemeldete betroffene Bereich umfasst:
- Adobe Commerce „September-Versionen“, ein Begriff, der im Bericht nicht näher definiert wird
- Magento Open Source bis einschließlich 2.4.9
- Adobe Commerce B2B bis einschließlich 1.5.3
CVE-2026-103849 wird als CWE-1336 eingestuft, also als unzureichende Neutralisierung besonderer Elemente in einer Template-Engine. Der CVSS-3.1-Wert liegt bei 10.0, der Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
Diese Bewertung beschreibt eine netzwerkseitig erreichbare Schwachstelle, für deren Ausnutzung weder Berechtigungen noch eine Benutzerinteraktion nötig sind. Eine erfolgreiche Ausnutzung könnte Vertraulichkeit, Integrität und Verfügbarkeit über die ursprünglich verwundbare Komponente hinaus beeinträchtigen.
Wie die Template-Injection zur PHP-Ausführung führt
Laut Sansecs Analyse handelt es sich bei BlockStrap um eine Schwachstelle durch Injection von Direktiven in der Template-Engine im zweiten Durchlauf.
Vom Angreifer kontrollierter Inhalt, der in einer untergeordneten E-Mail-Vorlage platziert wird, wird signiert und später auf der Ebene der Root-Vorlage erneut verarbeitet. In dieser zusätzlichen Verarbeitungsphase kann eine verborgene {{block}}-Direktive als aktive Anweisung interpretiert werden und nicht als harmloser Vorlageninhalt.
Sansec zufolge kann diese Kette letztlich beliebige PHP-Codeausführung auf dem Shop-Server ermöglichen. Praktisch bedeutet das, dass erfolgreiche Angreifer Code mit den Berechtigungen ausführen könnten, die der betroffenen Anwendungsumgebung zur Verfügung stehen.
Der Adobe-Patch ersetzt laut Berichten die generische Vorlagenverarbeitung durch registrierte Platzhalter. So wird verhindert, dass vom Angreifer eingeschleuste Direktiven über diesen Weg interpretiert werden.
BlockStrap betrifft dieselbe E-Mail-Template-Engine wie das frühere StyleSmuggler-Problem. Sansec beschreibt die neue Schwachstelle als Lücke, die die vorherige Korrektur hinterlassen hat. Die beiden Schwachstellen erfordern jedoch separate Korrekturen.
Adobe und Sansec uneins über die Dringlichkeit des Patches
Adobe hat CVE-2026-103849 laut Bericht die Bewertung priority 2 gegeben, was bedeutet, dass der Patch innerhalb von 30 Tagen eingespielt werden soll.
Sansec stellt diesen Zeitplan infrage. Das Unternehmen argumentiert, BlockStrap stelle ein unmittelbareres Risiko dar, und verweist auf StyleSmuggler. Dieses sei von einem Hotfix mit priority 1 innerhalb von drei Tagen zur massenhaften Ausnutzung übergegangen.
Sansec behauptet außerdem, „jeder mit einem KI-Agenten“ könne den Patch relativ schnell per Reverse Engineering analysieren und funktionierende Exploits erstellen. Diese Aussage ist eine Prognose zur Exploit-Entwicklung und kein Beleg dafür, dass KI-gestützte Ausnutzung bereits stattgefunden hat. Auch Sansecs eigene Einschätzung beschreibt den Angriffspfad als komplex.
Für das Einspielen der Korrektur reicht keine Standard-Composer-Installation
Sansec nennt zwei Abhilfemöglichkeiten: die Version 2026-oct installieren oder den isolierten Patch von Adobe anwenden. Laut dem Unternehmen reicht eine einfache Composer-Installation nicht aus, um die Schwachstelle zu beheben.
Administratoren sollten außerdem den Hotfix VULN-39341 aus dem September beibehalten. BlockStrap und StyleSmuggler sind getrennte Probleme. Daher entfällt die Notwendigkeit der früheren Korrektur nicht, nur weil die neuere Korrektur eingespielt wurde.
Betreiber betroffener Systeme sollten daher umgehend Folgendes tun:
- Prüfen, ob die eingesetzten Versionen von Magento Open Source, Adobe Commerce oder Adobe Commerce B2B in den genannten Bereich fallen.
- Die Version
2026-octoder den isolierten Patch von Adobe einspielen. - Bestätigen, dass die Korrektur tatsächlich ausgeliefert wurde, statt anzunehmen, dass eine Standard-Composer-Operation sie abgedeckt hat.
- Den Hotfix
VULN-39341aus dem September beibehalten, damit beide Schwachstellen in der Template-Engine behoben bleiben.
Als das Problem am 16. Oktober gemeldet wurde, hatte Sansec keine Ausnutzung festgestellt. Die Entdeckung mehrerer möglicher Angriffspfade macht die Überprüfung des Patches jedoch dringender als die bloße Planung eines späteren Upgrades.
