Investigadores advierten sobre una vulnerabilidad crítica (CVE-2026-103849) en Magento y Adobe Commerce que permitiría a hackers ejecutar código PHP en los servidores. Aunque Adobe le asignó una prioridad media, expertos de Sansec alertan que el uso de IA podría facilitar ataques masivos rápidamente. Se insta a los administradores a aplicar urgentemente los parches de octubre y los hotfixes previos para mitigar el riesgo.





Los investigadores advierten que los hackers podrían explotar pronto una vulnerabilidad de severidad máxima (CVE-2026-103849) que afecta a Magento y Adobe Commerce, lo que potencialmente les permitiría ejecutar código PHP arbitrario en los servidores de las tiendas.

Según la firma de seguridad de comercio electrónico Sansec, aún no se han observado ataques que aprovechen la vulnerabilidad, apodada BlockStrap, pero se espera que los actores de amenazas encuentren una manera de explotarla.

Los investigadores basaron su evaluación en la identificación de cuatro rutas de ataque potenciales que involucran el CVE-2026-103849 en menos de 24 horas.

El fallo afecta a las versiones de septiembre de Adobe Commerce y Magento Open Source hasta la 2.4.9 y Adobe Commerce B2B hasta la 1.5.3.

La firma de seguridad advirtió que la calificación de "prioridad 2" de Adobe para este fallo no refleja el peligro y la urgencia en este caso, a pesar de que la ruta de ataque sea más compleja.

“La ruta de ataque es compleja, pero cualquiera con un agente de IA puede realizar ingeniería inversa del parche para crear exploits funcionales en un tiempo relativamente corto”, afirmó Sansec [https://sansec.io/research/blockstrap-magento-rce].

“Es por eso que cuestionamos la calificación de prioridad 2 de Adobe (parche en un plazo de 30 días). StyleSmuggler pasó de ser un hotfix de prioridad 1 a una explotación masiva en tres días, y BlockStrap es de complejidad similar”.

El boletín de Adobe [https://www.adobe.com/trust/security/products/commerce/apsb26-153.html], publicado el 13 de octubre, describe el fallo como una neutralización inadecuada de elementos especiales utilizados en un motor de plantillas, lo que conduce a la ejecución de código arbitrario.

Sansec explica que BlockStrap es una inyección de directivas del motor de plantillas de segunda pasada que permite que el contenido controlado por el atacante en una plantilla de correo electrónico secundaria sea firmado y procesado nuevamente a nivel de raíz, ejecutando una directiva {{block}} contrabandeada.

Según el análisis de Sansec, BlockStrap expone una brecha dejada por la corrección de StyleSmuggler en el mismo motor de plantillas de correo electrónico.

La corrección de Adobe sustituye el procesamiento genérico por marcadores de posición registrados, evitando la explotación.

Sansec afirma que una instalación simple de Composer no es suficiente para abordar el riesgo, y que los administradores de sitios web deben aplicar la versión de octubre de 2026 o el parche aislado de Adobe.

“BlockStrap y StyleSmuggler son correcciones separadas. Necesita ambas, por lo que debe mantener también el hotfix VULN-39341 de septiembre”, advierte Sansec.

La empresa de seguridad de comercio electrónico dice que proporcionará una actualización cuando detecte olas de ataques masivos, que espera que ocurran pronto.

Fuente:
BleepingComputer