Falha crítica no BlockStrap pode permitir execução remota de código no Magento
Uma vulnerabilidade de gravidade máxima no Magento Open Source e no Adobe Commerce pode abrir caminho para que invasores executem código PHP nos servidores de lojas virtuais. Identificada como CVE-2026-103849 e apelidada de BlockStrap, a falha ainda não havia sido associada a ataques observados, mas especialistas consideram provável que tentativas de exploração apareçam em breve.
A avaliação de risco foi feita pela empresa de segurança para comércio eletrônico Sansec, que identificou quatro possíveis formas de explorar a vulnerabilidade em menos de 24 horas. Embora o ataque envolva etapas técnicas, a falha merece atenção imediata: uma exploração bem-sucedida pode comprometer o ambiente que sustenta a loja e colocar em risco seus dados e operações.
O problema atinge as versões de setembro do Adobe Commerce e do Magento Open Source até a 2.4.9, além do Adobe Commerce B2B até a 1.5.3. O boletim da Adobe, publicado em 13 de outubro, descreve uma falha na neutralização de elementos especiais processados por um mecanismo de templates. Em determinadas condições, essa deficiência pode resultar na execução de código arbitrário.
Como o BlockStrap funciona
De acordo com a análise da Sansec, o BlockStrap explora uma injeção de diretiva em uma segunda etapa do processamento de templates. Conteúdo controlado por um invasor pode ser inserido em um template de e-mail secundário, assinado e, depois, processado novamente no template principal.
Nesse novo processamento, uma diretiva `{{block}}` introduzida de forma disfarçada pode ser interpretada pelo sistema. Se o caminho de ataque for concluído, o servidor poderá executar código PHP escolhido pelo invasor. Por isso, a falha não deve ser tratada apenas como um problema de exibição ou formatação de mensagens.
A Sansec relaciona o caso ao StyleSmuggler, outra vulnerabilidade no mesmo mecanismo de templates de e-mail. Segundo a empresa, a correção anterior deixou uma brecha que pode ser explorada por meio do BlockStrap. A Adobe alterou o processamento genérico para utilizar placeholders registrados, impedindo que o conteúdo seja interpretado novamente da forma necessária à exploração.
Por que a correção exige atenção
A Adobe atribuiu à vulnerabilidade prioridade 2, classificação que prevê a aplicação de uma correção em até 30 dias. A Sansec, porém, questiona se esse prazo representa adequadamente a urgência do risco. Embora o ataque tenha complexidade, pesquisadores afirmam que ferramentas de inteligência artificial podem ajudar a analisar a correção e transformar a engenharia reversa em exploits funcionais em pouco tempo.
A empresa cita o precedente do StyleSmuggler: naquele caso, a mudança de uma correção emergencial de prioridade 1 para exploração em larga escala ocorreu em apenas três dias. Na avaliação da Sansec, o BlockStrap tem complexidade semelhante, o que reforça a necessidade de não adiar a atualização.
O que administradores devem fazer
Uma instalação padrão pelo Composer, por si só, não elimina o risco. A recomendação é aplicar a versão identificada como `2026-oct` ou o patch isolado disponibilizado pela Adobe. Administradores também devem confirmar que a correção do StyleSmuggler foi instalada: os dois problemas são distintos e exigem medidas separadas.
A Sansec recomenda ainda manter o hotfix VULN-39341, publicado em setembro. Aplicar apenas uma das correções pode deixar a loja exposta a uma das falhas, mesmo que a outra já tenha sido resolvida.
Depois de atualizar, vale conferir se o processo foi concluído em todos os ambientes – produção, homologação e instâncias secundárias – e validar a versão efetivamente em execução. Lojas com mais de uma instalação ou servidores independentes precisam verificar cada componente individualmente, evitando que uma instância desatualizada permaneça acessível.
Também é prudente restringir o acesso administrativo ao Magento, revisar contas e permissões e observar registros do servidor em busca de comportamentos incomuns. Essas medidas não substituem o patch, mas podem ajudar a reduzir a exposição e facilitar a identificação de sinais de comprometimento.
Como ainda não havia registro de exploração ativa no momento do alerta, não é possível concluir que lojas vulneráveis já tenham sido atacadas. Isso, porém, não deve ser interpretado como garantia de segurança: a expectativa da Sansec é que tentativas em larga escala possam surgir em breve. A empresa afirmou que divulgará novas informações caso identifique uma onda de ataques.