Une faille critique de BlockStrap permet aux pirates d’exécuter du code sur les serveurs Magento et Adobe Commerce

La société de sécurité Sansec a révélé une vulnérabilité de gravité maximale dans Adobe Commerce et Magento Open Source permettant à un attaquant d’exécuter du code PHP arbitraire sur le serveur d’une boutique en ligne, en faisant passer une directive malveillante par le moteur de modèles d’e-mails de la plateforme. Adobe a publié un correctif le 13 octobre 2026, mais Sansec affirme avoir trouvé quatre façons distinctes d’exploiter la faille dans les 24 heures suivant l’analyse du correctif.

Ce que fait la vulnérabilité

Sansec, qui a baptisé la faille « BlockStrap » et l’a cataloguée CVE-2026-103849, la décrit comme une « injection de directive de moteur de modèles en deuxième passe ». Les modèles d’e-mail de Magento traitent certains contenus deux fois, ce qui permet de glisser une directive {{block}} malveillante qui ne s’exécute qu’au second traitement, au niveau racine.

Gravité et désaccord sur l’urgence

Le bulletin de sécurité officiel d’Adobe, APSB26-153, classe le problème en « priorité 2 », impliquant une fenêtre de correction recommandée de 30 jours. Sansec conteste publiquement cette classification.

Qui est concerné et que faire

La faille touche Adobe Commerce et Magento Open Source jusqu’à la version 2.4.9, ainsi qu’Adobe Commerce B2B jusqu’à la version 1.5.3. Sansec précise qu’une simple mise à jour via Composer ne suffit pas.

Aucune attaque confirmée pour l’instant, mais une fenêtre courte

Sansec dit n’avoir observé aucune exploitation active à ce jour, mais avertit que la fenêtre réaliste avant des tentatives d’exploitation massive pourrait se mesurer en jours plutôt qu’en 30 jours.