アドビ決済基盤に最大深刻度の脆弱性、Sansecが悪用を警告
Sansecは、MagentoとAdobe Commerceに影響する最大深刻度の脆弱性「BlockStrap」が間もなく悪用される恐れがあるとして、管理者に2026-octリリースまたは隔離パッチの適用を促した。
電子商取引セキュリティ企業Sansecは、MagentoとAdobe Commerceに影響する最大深刻度の脆弱性が間もなく悪用される可能性があると警告し、管理者に対策を求めた。脆弱性はCVE-2026-103849として追跡され、「BlockStrap」と呼ばれている。攻撃者がストアのサーバー上で任意のPHPコードを実行できる恐れがあるという。
SansecはBlockStrapを悪用した攻撃はまだ確認されていないとしつつ、脅威アクターは悪用方法を見つけるとみられると述べた。同社は24時間足らずでCVE-2026-103849に関わる4つの攻撃経路を特定したという。
影響を受けるのは、9月版のAdobe CommerceとMagento Open Sourceの2.4.9まで、およびAdobe Commerce B2Bの1.5.3まで。Sansecは、アドビシステムズによるこの脆弱性の「priority 2」評価は今回の危険性と緊急性を反映していないと指摘した。
アドビシステムズが10月13日に公開したセキュリティ情報は、テンプレートエンジンで使われる特殊要素の中和が不適切で任意コード実行につながる問題だと説明している。同社の「priority 2」評価を巡るSansecの見解はこれとは別のものだ。
Sansecは、通常のComposerインストールだけでは不十分で、管理者は2026-octリリースかアドビシステムズの隔離パッチを適用しなければならないと述べた。さらに、9月のVULN-39341ホットフィックスは維持すべきで、BlockStrapとStyleSmugglerは別々の修正であり両方が必要だとしている。同社は大規模な攻撃波を検知した時点で更新を提供するとし、それは近く来るとみている。
よくある質問
BlockStrapとは何ですか。
MagentoとAdobe Commerceに影響する最大深刻度の脆弱性で、CVE-2026-103849として追跡されている。攻撃者がストアのサーバー上で任意のPHPコードを実行できる恐れがある。
どのバージョンが影響を受けますか。
9月版のAdobe CommerceとMagento Open Sourceの2.4.9まで、およびAdobe Commerce B2Bの1.5.3までが影響を受ける。
管理者は何をすべきですか。
Sansecは、通常のComposerインストールだけでは不十分で、2026-octリリースかアドビシステムズの隔離パッチを適用する必要があると述べている。9月のVULN-39341ホットフィックスは維持し、BlockStrapとStyleSmugglerの両方の修正を適用すべきだとしている。