Falha crítica no BlockStrap permite que hackers executem código em servidores Magento e Adobe Commerce

A empresa de segurança Sansec revelou uma vulnerabilidade de gravidade máxima no Adobe Commerce e no Magento Open Source que permite a um atacante executar código PHP arbitrário no servidor de uma loja, contrabandeando uma diretiva maliciosa através do próprio motor de templates de e-mail da plataforma. A Adobe publicou uma correção em 13 de outubro de 2026, mas a Sansec diz ter encontrado quatro formas distintas de explorar a falha em 24 horas após analisar o patch.

O que a vulnerabilidade faz

A Sansec, que batizou a falha de "BlockStrap" e a catalogou como CVE-2026-103849, a descreve como uma "injeção de diretiva de motor de template de segunda passagem". Os templates de e-mail do Magento processam certo conteúdo duas vezes, permitindo contrabandear uma diretiva {{block}} maliciosa que só executa no reprocessamento em nível raiz.

Gravidade e divergência sobre a urgência

O boletim de segurança oficial da Adobe, APSB26-153, classifica o problema como "prioridade 2", implicando uma janela de correção recomendada de 30 dias. A Sansec discorda publicamente dessa classificação.

Quem é afetado e o que fazer

A falha afeta o Adobe Commerce e o Magento Open Source até a versão 2.4.9, bem como o Adobe Commerce B2B até a versão 1.5.3. A Sansec diz que uma atualização comum via Composer não é suficiente por si só.

Nenhum ataque confirmado ainda, mas uma janela curta

A Sansec diz não ter observado exploração ativa até o momento da divulgação, mas adverte que a janela realista antes do início de tentativas de exploração em massa provavelmente será medida em dias, não nos 30 dias indicados pela Adobe.