Falla crítica en BlockStrap permite ejecución remota de código en servidores Magento

Investigadores de seguridad han emitido una alerta sobre una vulnerabilidad de severidad máxima, identificada como CVE-2026-103849, que afecta a Magento y Adobe Commerce. Según la firma de seguridad de comercio electrónico Sansec, los atacantes podrían aprovecharla para ejecutar código PHP arbitrario en los servidores de las tiendas. Hasta el momento no se han observado ataques que exploten esta falla, denominada BlockStrap, pero se espera que los actores de amenazas encuentren la manera de hacerlo.

La evaluación de Sansec se basa en la identificación de cuatro posibles rutas de ataque relacionadas con CVE-2026-103849 en menos de 24 horas. La vulnerabilidad afecta a las versiones de septiembre de Adobe Commerce y Magento Open Source hasta la 2.4.9, así como a Adobe Commerce B2B hasta la 1.5.3.

La firma advirtió que la calificación de "prioridad 2" otorgada por Adobe no refleja el peligro y la urgencia reales de este caso, a pesar de que la ruta de ataque sea más compleja. "La ruta de ataque es compleja, pero cualquiera con un agente de IA puede revertir el parche y convertirlo en exploits funcionales en relativamente poco tiempo", declaró Sansec. "Por eso cuestionamos la calificación de prioridad 2 de Adobe (parche en 30 días). StyleSmuggler pasó de un hotfix de prioridad 1 a una explotación masiva en tres días, y BlockStrap es de complejidad similar".

El boletín de Adobe, publicado el 13 de octubre, describe la falla como una neutralización inadecuada de elementos especiales utilizados en un motor de plantillas, lo que conduce a la ejecución de código arbitrario. Sansec explica que BlockStrap es una inyección de directiva de motor de plantillas de segundo paso que permite que el contenido controlado por el atacante en una plantilla de correo electrónico secundaria se firme y procese nuevamente en el nivel raíz, ejecutando una directiva {{block}} contrabandeada.

Según el análisis de Sansec, BlockStrap expone una brecha dejada por la corrección de StyleSmuggler en el mismo motor de plantillas de correo electrónico. La solución de Adobe reemplaza el procesamiento genérico con marcadores de posición registrados, lo que evita la explotación.

Sansec señala que una instalación simple de Composer no es suficiente para abordar el riesgo, y los administradores de sitios web deben aplicar la versión de octubre de 2026 o el parche aislado de Adobe. "BlockStrap y StyleSmuggler son correcciones separadas. Necesitas ambas, así que mantén también el hotfix VULN-39341 de septiembre", advierte Sansec.

La compañía de seguridad de comercio electrónico afirma que proporcionará una actualización cuando detecte oleadas de ataques masivos, que espera que ocurran pronto.

Una vez que los atacantes tienen credenciales válidas, solo se bloquea el 37% de sus acciones

Las puntuaciones generales de prevención pueden ocultar lo que sucede después del acceso inicial. Una vez que los atacantes utilizan credenciales válidas, la prevención cae drásticamente. El Informe Azul 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.