نقص حاد امنیتی BlockStrap به هکرها امکان اجرای کد روی سرورهای Magento و Adobe Commerce را می‌دهد

شرکت امنیتی Sansec یک آسیب‌پذیری با شدت حداکثری را در Adobe Commerce و Magento Open Source افشا کرد که به مهاجم امکان می‌دهد کد PHP دلخواه را روی سرور یک فروشگاه اینترنتی اجرا کند. Adobe در ۱۳ اکتبر ۲۰۲۶ رفع این نقص را منتشر کرد، اما Sansec می‌گوید در عرض ۲۴ ساعت چهار راه بهره‌برداری مشخص یافته است.

این آسیب‌پذیری چه کار می‌کند

Sansec این نقص را "BlockStrap" نامیده و تحت شناسه CVE-2026-103849 ثبت کرده است. قالب‌های ایمیل Magento برخی محتوا را دو بار پردازش می‌کنند.

شدت و اختلاف بر سر اورژنس

بولتن امنیتی خود Adobe یعنی APSB26-153 این مسأله را "اولویت ۲" طبقه‌بندی کرده، یعنی بازه زمانی پیشنهادی سی روز. Sansec به این رتبه‌بندی اعتراض دارد.

چه کسانی تحت تأثیر هستند و باید چه کاری انجام دهند

این نقص Adobe Commerce و Magento Open Source تا نسخه ۲.۴.۹ و همچنین Adobe Commerce B2B تا نسخه ۱.۵.۳ را در بر‌می‌گیرد. Sansec می‌گوید یک به‌روزرسانی Composer ساده کافی نیست.

هنوز حمله‌ای قطعی ثبت نشده، اما بازه‌ای کوتاه

Sansec می‌گوید تا زمان انتشار این گزارش، همله‌ای فعالی در شرایط مشاهده نکرده، اما با توجه به سرعت یافتن چهار راه بهره‌برداری، بازه واقعی پیش از اینکه حملات گسترده آفاز شود، احتمالاً به روز است، نه ۳۰ روز.