Una vulnerabilidad de gravedad máxima en Adobe Commerce y Magento Open Source podría permitir a atacantes no autenticados ejecutar código arbitrario en los servidores de las tiendas afectadas. Adobe publicó un boletín sobre CVE-2026-103849 el 13 de octubre de 2026, según un informe de BleepingComputer publicado el 16 de octubre.
Sansec, la empresa de seguridad que bautizó el fallo como «BlockStrap», afirmó que no había observado ataques que explotaran la vulnerabilidad. Sin embargo, la compañía identificó cuatro posibles vías de ataque en menos de 24 horas y prevé que los actores de amenazas desarrollen exploits funcionales.
Productos y versiones listados como afectados
El rango informado de versiones afectadas incluye:
- Adobe Commerce «versiones de septiembre», un término que el informe no define con más detalle
- Magento Open Source hasta la 2.4.9, inclusive
- Adobe Commerce B2B hasta la 1.5.3, inclusive
CVE-2026-103849 está clasificada como CWE-1336, neutralización inadecuada de elementos especiales usados en un motor de plantillas. Su puntuación CVSS 3.1 es 10,0, con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
Esa evaluación describe un fallo accesible desde la red que no requiere privilegios ni interacción del usuario. Una explotación exitosa podría afectar a la confidencialidad, la integridad y la disponibilidad más allá del componente inicialmente vulnerable.
Cómo la inyección de plantillas llega a la ejecución de PHP
Según el análisis de Sansec, BlockStrap es una vulnerabilidad de inyección de directivas del motor de plantillas en una segunda pasada.
El contenido controlado por el atacante, colocado en una plantilla de correo hija, queda firmado y se procesa de nuevo más adelante, a nivel de la plantilla raíz. Durante esa etapa adicional de procesamiento, una directiva {{block}} oculta puede interpretarse como una instrucción activa en lugar de como contenido inofensivo de la plantilla.
Sansec sostiene que esta cadena puede acabar proporcionando ejecución de código PHP arbitrario en el servidor de comercio. En la práctica, un atacante que tuviera éxito podría ejecutar código con los permisos disponibles para el entorno de la aplicación afectada.
Según se informa, la corrección de Adobe sustituye el procesamiento genérico de plantillas por marcadores de posición registrados, lo que impide que las directivas suministradas por el atacante se interpreten por esta vía.
BlockStrap afecta al mismo motor de plantillas de correo electrónico implicado en el problema anterior, StyleSmuggler. Sansec describe la nueva vulnerabilidad como un hueco que dejó la reparación previa, pero las dos fallas requieren correcciones independientes.
Adobe y Sansec discrepan sobre la urgencia del parche
Según se informa, Adobe asignó a CVE-2026-103849 una calificación priority 2, que, según el informe, exige aplicar el parche en un plazo de 30 días.
Sansec cuestiona ese calendario. La compañía sostiene que BlockStrap presenta un riesgo más inmediato y señala el caso de StyleSmuggler, que según ella pasó de una corrección urgente priority 1 a explotación masiva en tres días.
Sansec también afirma que «cualquiera con un agente de IA» podría someter el parche a ingeniería inversa y producir exploits funcionales con relativa rapidez. Esa afirmación es una previsión sobre el desarrollo de exploits, no una prueba de que se haya producido una explotación asistida por IA. La propia evaluación de Sansec describe además la vía de ataque como compleja.
Aplicar la corrección requiere más que una instalación estándar de Composer
Sansec enumera dos opciones de remediación: instalar la versión 2026-oct o aplicar el parche aislado de Adobe. Según la compañía, una instalación estándar de Composer no basta para resolver la vulnerabilidad.
Los administradores también deben mantener la corrección urgente de septiembre VULN-39341. BlockStrap y StyleSmuggler son problemas distintos, así que aplicar la corrección más reciente no elimina la necesidad de la anterior.
Para los operadores afectados, las acciones inmediatas son, por tanto:
- Determinar si las versiones desplegadas de Magento Open Source, Adobe Commerce o Adobe Commerce B2B están dentro de los rangos informados.
- Aplicar la versión
2026-octo el parche aislado de Adobe. - Confirmar que la remediación se desplegó realmente, en lugar de suponer que una operación estándar de Composer la cubrió.
- Conservar la corrección urgente de septiembre
VULN-39341para que ambas vulnerabilidades del motor de plantillas sigan atendidas.
Sansec no había detectado explotación cuando el problema se informó el 16 de octubre, pero el hallazgo de múltiples posibles vías de ataque hace que validar el parche sea más urgente que simplemente programar una actualización futura.
