Uma vulnerabilidade crítica que afeta o Magento Open Source e o Adobe Commerce acendeu um alerta entre especialistas em segurança digital. Identificada como CVE-2026-103849 e apelidada de BlockStrap, a falha pode permitir que invasores executem código PHP arbitrário nos servidores das plataformas de comércio eletrônico.
Segundo a empresa de segurança Sansec, até a publicação de sua análise, não haviam sido identificados ataques explorando a vulnerabilidade. Ainda assim, os pesquisadores alertam para a possibilidade de exploração em breve, após identificarem quatro possíveis caminhos de ataque em menos de 24 horas.
A falha afeta versões do Adobe Commerce e do Magento Open Source até a 2.4.9, além do Adobe Commerce B2B até a versão 1.5.3, conforme os detalhes divulgados na análise.
Especialistas alertam para risco de exploração
A Sansec questiona a classificação de prioridade 2 atribuída pela Adobe à vulnerabilidade, que prevê a aplicação de correções em até 30 dias. Para a empresa de segurança, o prazo pode não refletir a urgência do cenário.
Embora a exploração seja considerada tecnicamente complexa, os pesquisadores avaliam que ferramentas de inteligência artificial podem facilitar a análise das correções e o desenvolvimento de códigos maliciosos funcionais.
A empresa também cita o caso da vulnerabilidade StyleSmuggler, cuja exploração em larga escala teria começado poucos dias após a disponibilização de uma correção emergencial. Segundo a Sansec, o episódio serve de alerta para a possibilidade de que uma situação semelhante ocorra com o BlockStrap.
Como funciona a vulnerabilidade?
De acordo com o boletim de segurança publicado pela Adobe em 13 de outubro, o problema está relacionado à neutralização inadequada de elementos especiais utilizados por um mecanismo de templates, o que pode possibilitar a execução de código arbitrário.
A análise da Sansec descreve o BlockStrap como uma falha de injeção de diretivas em duas etapas. O problema permitiria que conteúdo controlado por um invasor, inserido em um template de e-mail secundário, fosse processado novamente em um nível superior, possibilitando a execução de uma diretiva maliciosa.
Segundo os pesquisadores, a vulnerabilidade evidencia uma brecha que teria permanecido após a correção da falha StyleSmuggler, identificada no mesmo mecanismo de templates de e-mail.
A correção disponibilizada pela Adobe utiliza um sistema de placeholders registrados para restringir o processamento de conteúdo, dificultando a exploração desse tipo de vulnerabilidade.
Atualização é recomendada para administradores
A Sansec alerta que a instalação convencional por meio do Composer, ferramenta utilizada para gerenciar dependências do PHP, não é suficiente, por si só, para garantir a proteção contra a falha.
A recomendação é aplicar a versão 2026-oct ou o patch específico disponibilizado pela Adobe, seguindo as orientações oficiais de segurança.
A empresa também destaca que as correções para BlockStrap e StyleSmuggler são distintas e que ambas precisam ser aplicadas. Além disso, recomenda manter o hotfix VULN-39341, disponibilizado em setembro.
Até a publicação da análise, não havia confirmação de exploração ativa do BlockStrap. A Sansec, porém, considera possível que surjam campanhas de ataque e afirma que divulgará novas informações caso identifique uma onda de exploração em larga escala.
Para empresas que utilizam Magento ou Adobe Commerce, a recomendação é verificar as versões instaladas, revisar os avisos oficiais e priorizar a aplicação das correções indicadas, reduzindo o risco de comprometimento das lojas virtuais e de seus servidores.
Torne a abertura mais diretaInclua um resumo prático para administradores
Fonte:https://www.cisoadvisor.com.br/falha-critica-no-blockstrap-permite-rce-no-magento/ acesso em 19/10/2026 às 09:54
