Pesquisadores alertam que hackers podem explorar em breve uma vulnerabilidade crítica (
CVE-2026-103849
) que afeta o Magento e o Adobe Commerce. A falha pode permitir a execução de código PHP arbitrário nos servidores de lojas virtuais.
Segundo a Sansec, empresa especializada em segurança para o comércio eletrônico, ainda não foram observados ataques que explorem a vulnerabilidade, chamada BlockStrap. A expectativa, porém, é que agentes de ameaça encontrem uma forma de explorá-la.
Os pesquisadores chegaram a essa conclusão depois de identificarem, em menos de 24 horas, quatro possíveis caminhos de ataque relacionados à
CVE-2026-103849
.
A falha afeta as versões de setembro do Adobe Commerce e do Magento Open Source até a 2.4.9, além do Adobe Commerce B2B até a versão 1.5.3.
A empresa de segurança afirma que a classificação de “prioridade 2” atribuída pela Adobe não reflete o perigo nem a urgência do caso, embora o caminho de ataque seja mais complexo.
“O caminho de ataque é complexo, mas qualquer pessoa com um agente de IA pode fazer engenharia reversa do patch e criar exploits funcionais em relativamente pouco tempo”, afirma a Sansec.
“Por isso, questionamos a classificação de prioridade 2 da Adobe, que prevê a aplicação do patch em até 30 dias. O StyleSmuggler passou de uma correção emergencial de prioridade 1 à exploração em massa em três dias, e o BlockStrap tem complexidade semelhante.”
O boletim da Adobe, publicado em 13 de outubro, descreve a falha como uma neutralização inadequada de elementos especiais usados em um mecanismo de templates, o que pode levar à execução de código arbitrário.
De acordo com a Sansec, o BlockStrap é uma injeção de diretiva no mecanismo de templates, executada em uma segunda passagem. Ela permite que conteúdo controlado pelo invasor em um template secundário de e-mail seja assinado e processado novamente no nível raiz, executando uma diretiva {{block}} inserida de forma dissimulada.
A análise da Sansec indica que o BlockStrap expõe uma brecha deixada pela correção do StyleSmuggler no mesmo mecanismo de templates de e-mail.
A correção da Adobe substitui o processamento genérico por marcadores registrados, impedindo a exploração da falha.
A Sansec afirma que uma instalação simples do Composer não é suficiente para eliminar o risco. Administradores de sites precisam aplicar a versão 2026-oct ou o patch independente da Adobe.
“BlockStrap e StyleSmuggler são correções distintas. É preciso aplicar as duas. Portanto, mantenha também a correção emergencial VULN-39341 de setembro”, alerta a Sansec.
A empresa especializada em segurança para o comércio eletrônico afirma que divulgará uma atualização quando detectar ondas de ataques em massa, que espera que ocorram em breve.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...