13 октября 2026 года Adobe выпустила бюллетень APSB26-153 — 11 уязвимостей в Adobe Commerce и Magento Open Source. Главная из них — CVE-2026-103849, которую исследователи Sansec назвали BlockStrap: выполнение произвольного кода на сервере магазина без авторизации, оценка по CVSS — максимальные 10.0.
Что случилось
Уязвимость — в движке шаблонов писем. Содержимое, которое контролирует атакующий, попадает в дочерний шаблон, подписывается и повторно обрабатывается уже на верхнем уровне — так в шаблон проходит директива {{block}}, и на сервере выполняется PHP-код. По данным Sansec, BlockStrap использует пробел, оставшийся после исправления StyleSmuggler в том же движке.
В том же бюллетене закрыта CVE-2026-92909 в Adobe Commerce B2B (CVSS 9.8, тоже без авторизации), две хранимые XSS с оценкой 9.3 и ещё семь уязвимостей.
Почему не стоит ждать 30 дней
Adobe присвоила бюллетеню приоритет 2 — это означает установку в течение 30 дней. Sansec с оценкой не согласна: за сутки исследователи нашли четыре пути атаки, а с ИИ-агентом превратить патч в рабочий эксплойт можно довольно быстро. Для сравнения Sansec приводит StyleSmuggler: та уязвимость похожей сложности дошла от хотфикса до массовых взломов за три дня. На 22 октября атак на BlockStrap не зафиксировано, в каталоге CISA KEV её нет.
Кто под угрозой
- Adobe Commerce 2.4.4–2.4.9 и Magento Open Source 2.4.6–2.4.9 — все сборки по сентябрьскую включительно.
- Adobe Commerce B2B 1.3.3–1.5.3.
Что делать сейчас
- Обновиться до октябрьской сборки своей ветки (например, 2.4.9-2026-oct или 2.4.8-2026-oct; для B2B — 1.5.3-2026-oct и соседние) или поставить изолированный патч Adobe. По данным Sansec, обычной установки через Composer недостаточно — проверьте, что исправление действительно применилось.
- Изолированные патчи ставятся по порядку: сначала все обязательные патчи предыдущих месяцев для вашей версии, потом октябрьский.
- Оставить на месте сентябрьский хотфикс от StyleSmuggler (CVE-2026-75650). BlockStrap и StyleSmuggler — разные исправления, нужны оба.
- 16 октября Adobe обновила изолированный патч для 2.4.8-p5 — если ставили его до этой даты, поставьте заново.
- Adobe рекомендует сменить ключ шифрования и связанные доступы: токены интеграций, ключи платёжных шлюзов, учётные данные автоматизации.
Мы работаем с Magento больше десяти лет. Поставим октябрьские исправления на тестовом стенде, проверим оформление заказа и письма, выкатим на продакшен с планом отката и проверим магазин на следы взлома.
Источники: бюллетень Adobe APSB26-153, BleepingComputer о BlockStrap, разбор бюллетеня от Meetanshi.