BlockStrap : Sansec alerte sur une faille critique dans Magento
La faille CVE-2026-103849, notée critique, pourrait permettre l'exécution de code PHP arbitraire sur les serveurs des boutiques Magento et Adobe Commerce.
La société de sécurité Sansec a averti le 16 octobre 2026 que la faille BlockStrap (CVE-2026-103849), de criticité maximale, affecte Magento et Adobe Commerce et pourrait être exploitée prochainement par des attaquants pour exécuter du code PHP arbitraire sur les serveurs des boutiques, selon bleepingcomputer.com.
Sansec précise qu'aucune attaque exploitant BlockStrap n'a encore été observée, mais que les acteurs malveillants devraient finir par trouver un moyen de l'exploiter. En moins de 24 heures, la société dit avoir identifié quatre pistes d'attaque potentielles liées à CVE-2026-103849.
La faille touche les versions de septembre d'Adobe Commerce et de Magento Open Source jusqu'à la 2.4.9, ainsi qu'Adobe Commerce B2B jusqu'à la 1.5.3. Sansec estime que la notation « priorité 2 » attribuée par Adobe ne reflète pas le danger et l'urgence de la situation.
Le bulletin d'Adobe publié le 13 octobre décrit le problème comme une neutralisation incorrecte d'éléments spéciaux utilisés dans un moteur de templates, menant à une exécution de code arbitraire. Sansec souligne qu'une simple installation via Composer ne suffit pas : les administrateurs doivent appliquer la version 2026-oct ou le correctif isolé d'Adobe.
Correctifs cumulatifs
Sansec indique que le correctif VULN-39341 de septembre doit rester en place et que BlockStrap et StyleSmuggler constituent des correctifs distincts nécessitant tous deux une application.
La société promet une mise à jour lorsqu'elle détectera des vagues d'attaques massives, qu'elle dit attendre prochainement. Pour rappel, StyleSmuggler était passé d'un correctif de priorité 1 à une exploitation massive en trois jours.
En bref
Qu'est-ce que la faille BlockStrap ?
Il s'agit de la vulnérabilité CVE-2026-103849, de criticité maximale, qui touche Magento et Adobe Commerce et pourrait permettre l'exécution de code PHP arbitraire sur les serveurs des boutiques.
Quelles versions sont concernées ?
Les versions de septembre d'Adobe Commerce et de Magento Open Source jusqu'à la 2.4.9, ainsi qu'Adobe Commerce B2B jusqu'à la 1.5.3.
Comment se protéger ?
Sansec recommande d'appliquer la version 2026-oct ou le correctif isolé d'Adobe. Une simple installation via Composer ne suffit pas, et le correctif VULN-39341 de septembre doit rester en place.