ثغرة BlockStrap الحرجة تتيح للمخترقين تشغيل كود على خوادم Magento وAdobe Commerce

كشفت شركة الأمن السيبراني Sansec عن ثغرة بأعلى درجة خطورة في Adobe Commerce وMagento Open Source تسمح للمهاجم بتشغيل كود PHP عشوائي على خادم المتجر عبر تمرير توجيه خبيث من خلال محرك قوالب البريد الإلكتروني الخاص بالمنصة. نشرت Adobe إصلاحاً في 13 أكتوبر 2026، لكن Sansec تقول إنها وجدت أربع طرق مختلفة لاستغلال الثغرة في غضون 24 ساعة من تحليل الرقعة.

ماذا تفعل الثغرة

سمّت Sansec الثغرة "BlockStrap" وصنّفتها CVE-2026-103849. قوالب البريد الإلكتروني في Magento تعالج بعض المحتوى مرتين، وهو ما يسمح بتمرير توجيه {{block}} خبيث يُنفَّذ فقط عند إعادة المعالجة في المستوى الجذري.

الخطورة والجدل حول الأولوية

تصنّف نشرة Adobe الأمنية الرسمية APSB26-153 المشكلة على أنها "أولوية 2"، أي نافذة ترقيع موصى بها لمدة 30 يوماً. تعارض Sansec علناً هذا التصنيف، بحجة أن سهولة الاستغلال تستدعي التعامل معها كحالة حرجة.

من المتأثر وما يجب فعله

تؤثر الثغرة على Adobe Commerce وMagento Open Source حتى الإصدار 2.4.9، وAdobe Commerce B2B حتى الإصدار 1.5.3. تقول Sansec إن التحديث العادي عبر Composer وحده غير كافٍ.

لا هجمات مؤكدة بعد، لكن النافذة قصيرة

تقول Sansec إنها لم تلاحظ استغلالاً فعلياً حتى الآن، لكنها نظراً لسرعة إيجادها أربع طرق للاستغلال، تحذّر من أن النافذة الواقعية قبل بدء هجمات واسعة قد تُقاس بالأيام لا بـ30 يوماً.