Adobe Commerce · Divulgada

Adobe corrige RCE crítica BlockStrap no Magento; patch exige aplicação manual

12 de out. de 2026 · 2 min de leitura

BlockStrap (CVE-2026-103849) é uma injeção no motor de templates de e-mail do Adobe Commerce e do Magento Open Source, com CVSS 10.0, que dá execução remota de código a atacantes não autenticados. A Adobe publicou a correção em 13 de outubro de 2026 no boletim APSB26-153, que exige aplicação manual; a Sansec reproduziu quatro rotas de ataque em 24 horas, mas não observou exploração em lojas ativas até 15 de outubro. Aplique o patch de outubro agora e mantenha o hotfix do StyleSmuggler (VULN-39341), que o patch não inclui.

Por Redação HIFY Radar Atualizado 26/10/2026 13:29 Receba isso todo dia →← Voltar ao feed 4 fontes

CríticaFalhaDivulgadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Uma falha crítica apelidada BlockStrap (CVE-2026-103849) permite que atacantes sem login executem código arbitrário no servidor de lojas Adobe Commerce e Magento Open Source. A Adobe publicou a correção em 13 de outubro de 2026, no boletim APSB26-153, mas ela exige aplicação manual. Até 15 de outubro, a Sansec não havia observado ataques a lojas reais.

Por que importa

Uma loja invadida por essa falha expõe dados de clientes e entrega o controle total do servidor ao atacante. Segundo a Sansec, a falha tem a mesma gravidade do StyleSmuggler, que saiu de hotfix para exploração em massa em três dias, e instalações novas via Composer seguem vulneráveis. A Adobe classificou o risco como prioridade 2, com prazo de 30 dias, prazo que a Sansec considera arriscado.

O que fazer

Aplicar hoje o patch de outubro (APSB26-153) ou atualizar para o build 2.4.9-2026-oct, sem esperar a janela de 30 dias da Adobe. Instalar também o hotfix de setembro do StyleSmuggler (VULN-39341), pois o patch de outubro não o inclui, e confirmar que o patch foi aplicado de fato. Se não puder corrigir em horas, a Sansec informa que o Sansec Shield bloqueia o ataque na camada HTTP.

Para o time técnico

CVE: CVE-2026-103849
Afetados: Adobe Commerce, Magento Open Source, Adobe Commerce B2B · Adobe Commerce e Magento Open Source até 2.4.9 (builds de setembro de 2026); Adobe Commerce B2B até 1.5.3; Mage-OS até 3.5.0. Uma instalação limpa via Composer permanece na versão base vulnerável.
Exploração: Sem exploração observada em lojas ativas até 15 de outubro de 2026, segundo a Sansec. A Sansec reproduziu quatro rotas de execução de código em 24 horas após o patch e espera que ataquantes façam o mesmo. A Adobe classificou como prioridade 2 (corrigir em 30 dias) porque não conhece ataques, posição informada pela Adobe no Slack da comunidade Magento, segundo a Sansec.
Correção: Build 2.4.9-2026-oct ou patch isolado de outubro (APSB26-153); patches públicos para 2.4.7-p10, 2.4.8-p5 e 2.4.9; Mage-OS 3.6.0, lançado em 14 de outubro, atualizando o metapacote mage-os/product-community-edition. Patches para 2.4.4-p18, 2.4.5-p17 e 2.4.6-p15 exigem licença Adobe Commerce; a Happy Horizon publicou backports de terceiros, sem garantia da Sansec. O patch substitui o rescan genérico por placeholders registrados. Manter o hotfix StyleSmuggler VULN-39341, instalado antes do patch de outubro. Verificação do patch: grep -c resolveDeferredDirectives vendor/magento/framework/Filter/Template.php (0 indica fix ausente); do hotfix: vendor/bin/magento-patches -n status | grep "39341\|Status". Downloads listados no artigo ka-49323 da Adobe.
Vetor: Componente: motor de templates de e-mail do Magento (framework/Filter/Template.php). Tipo: injeção de diretiva em segunda passada. O hotfix StyleSmuggler assina diretivas confiáveis, mas dados controlados pelo atacante em um template filho ainda podem ser assinados e reexaminados no nível raiz, onde uma diretiva {{block}} contrabandeada executa PHP arbitrário dentro da renderização. Explorável sem autenticação, com a loja acessível.
Mais detalhes: Descoberta creditada a vozec, segundo a Sansec. É a segunda falha crítica no motor de templates de e-mail em seis semanas, após StyleSmuggler (CVE-2026-75650, hotfix em 07/09/2026). Linha do tempo da Sansec: 13/10 Adobe publica APSB26-153; 14/10 Sansec reproduz quatro rotas, libera regras no Shield e sai a Mage-OS 3.6.0; 15/10 publicação da análise, sem explução observada. O patch de outubro cria por engano um arquivo de lock vazio no raiz do Magento, 976bc24c08055e67a58cf491401c8b2f3d48ff55b8092f1ede196bac4756a228 (hash SHA-256 de /var/.regenerate.lock); pode ser apagado (bug magento/magento2#41535). A primeira versão do patch 2.4.8-p5 omitiu a correção de CVE-2026-91013 em EmailAddress.php; a Adobe publicou 248p5-2026-10-002-CE em 14/10; conferir com grep -c QUOTED_LOCAL_PART_PATTERN vendor/magento/framework/Validator/EmailAddress.php. Payloads Twig com registerUndefinedFilterCallback não são BlockStrap; callbacks para bxss.me vêm do scanner Acunetix. Plugins de patch do Composer podem pular hunks sem falhar o build; rodar o eComscan para achar backdoors.