Sansec alerta sobre BlockStrap, una falla crítica que permite ejecutar código en tiendas Magento

La vulnerabilidad CVE-2026-103849 afecta a Magento Open Source y Adobe Commerce hasta la versión 2.4.9; Sansec pide aplicar el parche de inmediato.

Investigadores de la firma de seguridad de comercio electrónico Sansec advirtieron que atacantes podrían explotar pronto BlockStrap (CVE-2026-103849), una vulnerabilidad de severidad máxima en Magento y Adobe Commerce que permite ejecutar código PHP arbitrario en los servidores de las tiendas, según BleepingComputer del 16 de octubre.

Sansec no ha observado ataques todavía, pero identificó cuatro posibles rutas de explotación en menos de 24 horas. La falla afecta a las versiones de septiembre de Adobe Commerce y Magento Open Source hasta la 2.4.9 y a Adobe Commerce B2B hasta la 1.5.3.

El boletín de Adobe, publicado el 13 de octubre, la describe como una neutralización incorrecta de elementos especiales en un motor de plantillas. Según Sansec, se trata de una inyección de directivas en una segunda pasada del motor de plantillas de correo, que aprovecha un hueco dejado por la corrección de StyleSmuggler.

La firma cuestiona la prioridad 2 que asignó Adobe, que implica parchear en 30 días. «La ruta de ataque es compleja, pero cualquiera con un agente de IA puede convertir el parche, mediante ingeniería inversa, en exploits funcionales en relativamente poco tiempo», señaló Sansec. Recordó que StyleSmuggler pasó de un parche de prioridad 1 a la explotación masiva en tres días.

Sansec indica que una instalación normal con Composer no basta: los administradores deben aplicar la versión 2026-oct o el parche aislado de Adobe, y mantener el hotfix VULN-39341 de septiembre. «BlockStrap y StyleSmuggler son correcciones separadas. Se necesitan ambas», advirtió la empresa.

Fuente: BleepingComputer: «Critical BlockStrap flaw lets hackers run code on Magento servers», 16 de octubre de 2026.