Un fallo crítico de BlockStrap permite a los hackers ejecutar código en servidores de Magento y Adobe Commerce

La firma de seguridad Sansec ha revelado una vulnerabilidad de máxima gravedad en Adobe Commerce y Magento Open Source que permite a un atacante ejecutar código PHP arbitrario en el servidor de una tienda, introduciendo de forma encubierta una directiva maliciosa a través del propio motor de plantillas de correo electrónico de la plataforma. Adobe publicó una corrección el 13 de octubre de 2026, pero Sansec dice haber encontrado cuatro formas distintas de explotar el fallo en las 24 horas posteriores a analizar el parche.

Qué hace la vulnerabilidad

Sansec, que bautizó el fallo como "BlockStrap" y lo catalogó como CVE-2026-103849, lo describe como una "inyección de directiva de motor de plantillas de segundo paso". Las plantillas de correo de Magento procesan cierto contenido dos veces, lo que permite introducir una directiva {{block}} maliciosa que solo se ejecuta al reprocesarse en el nivel raíz.

Gravedad y desacuerdo sobre la urgencia

El boletín de seguridad de Adobe, APSB26-153, clasifica el problema como "prioridad 2", lo que implica una ventana de parcheo recomendada de 30 días. Sansec discrepa públicamente de esa calificación.

Quién está afectado y qué hacer

El fallo afecta a Adobe Commerce y Magento Open Source hasta la versión 2.4.9, así como a Adobe Commerce B2B hasta la versión 1.5.3. Sansec dice que una actualización básica vía Composer no es suficiente por sí sola.

Sin ataques confirmados aún, pero con una ventana corta

Sansec dice no haber observado explotación activa hasta el momento de su divulgación, pero advierte que la ventana realista antes de que comiencen los intentos de explotación masiva probablemente se mida en días, no en los 30 que indica Adobe.