Ciddi BlockStrap açığı Magento sunucularında kod çalıştırmaya izin verebilir

Sansec, CVE-2026-103849 için henüz sömürü görülmediğini ama saldırganların kısa sürede yol bulabileceğini söylüyor.

Sansec’e göre yeni açıklanan, en yüksek önem derecesindeki Magento ve Adobe Commerce açığı CVE-2026-103849, saldırganların mağaza sunucularında keyfi PHP çalıştırmasına yol açabilir; ancak bugüne kadar BlockStrap kullanılarak bir sömürü görülmedi. Adobe, duyurusunu 13 Ekim’de yaptı ve sorunu öncelik 2 olarak sınıflandırdı, fakat Sansec riskin daha yüksek olduğunu düşünüyor. Şirket, 24 saatten kısa sürede dört olası saldırı yolu bulduğunu ve çalışan sömürülerin yakında ortaya çıkmasını beklediğini söylüyor.

Açık, September sürümlerindeki Adobe Commerce ve Magento Open Source için 2.4.9’a kadar olan seriyi, ayrıca Adobe Commerce B2B için 1.5.3’e kadar olan seriyi etkiliyor. Adobe’nin bültenine göre sorun, bir template engine içinde uygunsuz nötralizasyon ve bunun keyfi code execution’a yol açabilmesi. Sansec ise Adobe’nin düzeltmesinin genel template işleme mantığını registered placeholders’a çevirdiğini, yöneticilerin plain Composer install’a güvenmek yerine 2026-oct release ya da Adobe’nin isolated patch’ini uygulaması gerektiğini belirtiyor. Şirket ayrıca, September’daki VULN-39341 hotfix’inin yerinde kalması gerektiğini, çünkü BlockStrap ve StyleSmuggler’ın ayrı düzeltmeler olduğunu söylüyor.