Une vulnérabilité de gravité maximale touchant Adobe Commerce et Magento Open Source pourrait permettre à des attaquants non authentifiés d'exécuter du code arbitraire sur les serveurs des boutiques concernées. Adobe a publié un bulletin pour la CVE-2026-103849 le 13 octobre 2026, selon un rapport de BleepingComputer publié le 16 octobre.
La société de sécurité Sansec, qui a baptisé la faille « BlockStrap », indique n'avoir observé aucune attaque exploitant la vulnérabilité. Elle a toutefois identifié quatre chemins d'attaque potentiels en moins de 24 heures et s'attend à ce que des acteurs malveillants développent des exploits fonctionnels.
Produits et versions déclarés vulnérables
La plage de versions concernée, selon les informations rapportées, comprend :
- les « versions de septembre » d'Adobe Commerce, un terme que le rapport ne définit pas davantage
- Magento Open Source jusqu'à la version 2.4.9 incluse
- Adobe Commerce B2B jusqu'à la version 1.5.3 incluse
La CVE-2026-103849 est classée CWE-1336, neutralisation incorrecte des éléments spéciaux utilisés dans un moteur de templates. Son score CVSS 3.1 est de 10,0, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
Cette évaluation décrit une faille accessible par le réseau, ne nécessitant ni privilèges ni interaction de l'utilisateur. Une exploitation réussie pourrait compromettre la confidentialité, l'intégrité et la disponibilité, au-delà du composant initialement vulnérable.
Comment l'injection de template aboutit à l'exécution de PHP
D'après l'analyse de Sansec, BlockStrap est une vulnérabilité d'injection de directives du moteur de templates lors d'un second passage.
Un contenu contrôlé par l'attaquant, placé dans un template d'e-mail enfant, est signé puis traité de nouveau au niveau du template racine. Pendant cette étape de traitement supplémentaire, une directive {{block}} dissimulée peut être interprétée comme une instruction active, et non comme un simple contenu de template inoffensif.
Sansec affirme que cette chaîne peut finalement permettre l'exécution de code PHP arbitraire sur le serveur de commerce. Concrètement, un attaquant qui réussit pourrait exécuter du code avec les droits dont dispose l'environnement de l'application concernée.
Selon les informations disponibles, le correctif d'Adobe remplace le traitement générique des templates par des espaces réservés enregistrés, empêchant ainsi que des directives fournies par un attaquant soient interprétées par cette voie.
BlockStrap touche le même moteur de templates d'e-mail que le problème StyleSmuggler antérieur. Sansec décrit la nouvelle vulnérabilité comme une faille laissée par la réparation précédente, mais les deux failles exigent des correctifs distincts.
Adobe et Sansec divergent sur l'urgence du correctif
Selon les informations rapportées, Adobe a attribué à la CVE-2026-103849 une priorité priority 2, que le rapport décrit comme exigeant l'application du correctif sous 30 jours.
Sansec conteste ce calendrier. La société soutient que BlockStrap présente un risque plus immédiat et cite StyleSmuggler, qui, selon elle, est passé d'un hotfix priority 1 à une exploitation massive en trois jours.
Sansec affirme également que « toute personne disposant d'un agent IA » pourrait faire de la rétro-ingénierie sur le correctif et produire relativement rapidement des exploits fonctionnels. Cette affirmation relève d'une prévision sur le développement d'exploits, et non d'une preuve qu'une exploitation assistée par IA ait eu lieu. L'évaluation de Sansec décrit par ailleurs le chemin d'attaque comme complexe.
Appliquer le correctif demande plus qu'une installation Composer standard
Sansec propose deux options de correction : installer la version 2026-oct ou appliquer le correctif isolé d'Adobe. Selon la société, une simple installation Composer ne suffit pas à résoudre la vulnérabilité.
Les administrateurs doivent aussi maintenir en place le hotfix VULN-39341 de septembre. BlockStrap et StyleSmuggler sont deux problèmes distincts : appliquer la correction la plus récente ne supprime donc pas la nécessité du correctif antérieur.
Pour les opérateurs concernés, les actions immédiates consistent donc à :
- Déterminer si les versions déployées de Magento Open Source, d'Adobe Commerce ou d'Adobe Commerce B2B se situent dans les plages signalées.
- Appliquer la version
2026-octou le correctif isolé d'Adobe. - Vérifier que la correction a effectivement été déployée, sans supposer qu'une opération Composer standard l'ait couverte.
- Conserver le hotfix
VULN-39341de septembre afin que les deux vulnérabilités liées au moteur de templates restent traitées.
Sansec n'avait détecté aucune exploitation au moment de la publication du signalement, le 16 octobre. Mais l'identification de plusieurs chemins d'attaque potentiels rend la validation du correctif plus urgente que la simple planification d'une mise à niveau ultérieure.
