Una vulnerabilità di gravità massima in Adobe Commerce e Magento Open Source potrebbe consentire ad aggressori non autenticati di eseguire codice arbitrario sui server dei negozi interessati. Adobe ha pubblicato un bollettino per CVE-2026-103849 il 13 ottobre 2026, secondo un articolo di BleepingComputer pubblicato il 16 ottobre.
La società di sicurezza Sansec, che ha battezzato la falla «BlockStrap», ha dichiarato di non aver osservato attacchi che sfruttino la vulnerabilità. Tuttavia, l'azienda ha individuato quattro potenziali percorsi di attacco in meno di 24 ore e si aspetta che gli attori malevoli sviluppino exploit funzionanti.
Prodotti e versioni indicati come vulnerabili
L'intervallo di versioni indicato come vulnerabile comprende:
- Adobe Commerce «versioni di settembre», un'espressione che il report non definisce ulteriormente
- Magento Open Source fino alla 2.4.9 inclusa
- Adobe Commerce B2B fino alla 1.5.3 inclusa
CVE-2026-103849 è classificata come CWE-1336, ovvero neutralizzazione impropria di elementi speciali utilizzati in un motore di template. Il suo punteggio CVSS 3.1 è 10,0, con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
La valutazione descrive una falla raggiungibile dalla rete, che non richiede privilegi né interazione dell'utente. Uno sfruttamento riuscito potrebbe compromettere riservatezza, integrità e disponibilità anche oltre il componente inizialmente vulnerabile.
Come l'iniezione di template arriva all'esecuzione di PHP
Secondo l'analisi di Sansec, BlockStrap è una vulnerabilità di iniezione di direttive del motore di template che agisce in un secondo passaggio.
I contenuti controllati dall'attaccante inseriti in un template email figlio vengono firmati e successivamente rielaborati a livello di template radice. In questa fase di elaborazione aggiuntiva, una direttiva {{block}} nascosta può essere interpretata come un'istruzione attiva anziché come normale contenuto del template.
Sansec sostiene che questa catena può in ultima analisi consentire l'esecuzione di codice PHP arbitrario sul server del negozio. In termini pratici, un attaccante che riuscisse nell'intento potrebbe eseguire codice con i permessi disponibili nell'ambiente dell'applicazione.
Secondo quanto riportato, la correzione di Adobe sostituisce l'elaborazione generica dei template con segnaposto registrati, impedendo che le direttive fornite dall'attaccante vengano interpretate attraverso questo percorso.
BlockStrap riguarda lo stesso motore di template delle email coinvolto in precedenza nel problema StyleSmuggler. Sansec descrive la nuova vulnerabilità come una lacuna lasciata dalla riparazione precedente, ma le due falle richiedono correzioni separate.
Adobe e Sansec non concordano sull'urgenza della patch
Secondo quanto riferito, Adobe avrebbe assegnato a CVE-2026-103849 una classificazione priority 2, che secondo il report richiede l'applicazione della patch entro 30 giorni.
Sansec contesta questa tempistica. L'azienda sostiene che BlockStrap presenti un rischio più immediato e richiama il caso di StyleSmuggler, che secondo Sansec sarebbe passato da un hotfix priority 1 allo sfruttamento di massa in tre giorni.
Sansec afferma inoltre che «chiunque disponga di un agente AI» potrebbe fare reverse engineering della patch e produrre exploit funzionanti relativamente in fretta. Si tratta di una previsione sullo sviluppo di exploit, non della prova che uno sfruttamento assistito dall'AI sia già avvenuto. Anche la valutazione dello stesso Sansec descrive il percorso di attacco come complesso.
Applicare la correzione richiede più di una semplice installazione con Composer
Sansec elenca due opzioni di correzione: installare la release 2026-oct oppure applicare la patch isolata di Adobe. Secondo l'azienda, una semplice installazione con Composer non è sufficiente a risolvere la vulnerabilità.
Gli amministratori dovrebbero inoltre mantenere in vigore l'hotfix di settembre VULN-39341. BlockStrap e StyleSmuggler sono problemi distinti, quindi applicare la correzione più recente non elimina la necessità di quella precedente.
Per gli operatori interessati, le azioni immediate sono dunque:
- Verificare se le versioni installate di Magento Open Source, Adobe Commerce o Adobe Commerce B2B rientrano negli intervalli indicati.
- Applicare la release
2026-octoppure la patch isolata di Adobe. - Confermare che la correzione sia stata effettivamente distribuita, senza dare per scontato che un'normale operazione con Composer la includa.
- Conservare l'hotfix di settembre
VULN-39341, così entrambe le vulnerabilità del motore di template restano coperte.
Al momento della segnalazione, il 16 ottobre, Sansec non aveva rilevato sfruttamenti. Tuttavia, avendo individuato più potenziali percorsi di attacco, la verifica della patch diventa più urgente della semplice pianificazione di un aggiornamento da fare in futuro.
