Kritische BlockStrap-Lücke erlaubt Hackern Codeausführung auf Magento- und Adobe-Commerce-Servern

Das Sicherheitsunternehmen Sansec hat eine Schwachstelle mit maximalem Schweregrad in Adobe Commerce und Magento Open Source aufgedeckt, die einem Angreifer erlaubt, beliebigen PHP-Code auf dem Server eines Onlineshops auszuführen, indem eine bösartige Direktive durch die E-Mail-Template-Engine der Plattform geschmuggelt wird. Adobe veröffentlichte am 13. Oktober 2026 einen Fix, doch Sansec gibt an, innerhalb von 24 Stunden nach Analyse des Patches vier verschiedene Wege zur Ausnutzung der Lücke gefunden zu haben.

Was die Schwachstelle bewirkt

Sansec, das die Lücke "BlockStrap" nannte und als CVE-2026-103849 katalogisierte, beschreibt sie als "Second-Pass-Template-Engine-Direktiv-Injektion". Magentos E-Mail-Templates verarbeiten bestimmte Inhalte zweimal, wodurch eine bösartige {{block}}-Direktive eingeschmuggelt werden kann, die erst bei der erneuten Verarbeitung auf Root-Ebene ausgeführt wird.

Schweregrad und Uneinigkeit über die Dringlichkeit

Adobes eigenes Sicherheitsbulletin APSB26-153 klassifiziert das Problem als "Priorität 2", was ein empfohlenes Patch-Fenster von 30 Tagen bedeutet. Sansec widerspricht dieser Einstufung öffentlich.

Wer betroffen ist und was zu tun ist

Die Lücke betrifft Adobe Commerce und Magento Open Source bis Version 2.4.9 sowie Adobe Commerce B2B bis Version 1.5.3. Sansec erklärt, ein einfaches Composer-Update allein reiche nicht aus.

Noch keine bestätigten Angriffe, aber ein kurzes Zeitfenster

Sansec gibt an, bislang keine aktive Ausnutzung beobachtet zu haben, warnt aber, dass das realistische Zeitfenster vor breiten Ausnutzungsversuchen eher in Tagen als in den von Adobe genannten 30 Tagen zu messen sein dürfte.