매젠토·어도비 커머스 최고 위험도 'BlockStrap' 취약점 경고

보안업체 Sansec이 매젠토와 어도비 커머스에 영향을 미치는 최고 위험도 취약점 'BlockStrap'(CVE-2026-103849)이 곧 실제 공격에 악용될 수 있다고 경고하고, 관리자들에게 2026년 10월 릴리스나 어도비 시스템즈의 개별 패치를 적용할 것을 촉구했다. 보안 전문 매체 bleepingcomputer.com이 이 같은 내용을 보도했다.

이 취약점은 공격자가 상점 서버에서 임의의 PHP 코드를 실행할 수 있게 하는 결함이다. 어도비 시스템즈는 10월 13일 게시한 보안 공지에서 해당 결함을 템플릿 엔진에 사용되는 특수 요소의 부적절한 중화로 인한 임의 코드 실행으로 설명했다.

Sansec은 아직 BlockStrap을 악용한 공격이 관측되지는 않았지만, 공격자들이 이를 악용할 방법을 찾아낼 것으로 예상한다고 밝혔다. 실제로 Sansec은 24시간이 채 지나지 않아 CVE-2026-103849와 관련된 4가지 잠재적 공격 경로를 확인했다.

영향을 받는 버전은 2.4.9까지의 9월 버전 어도비 커머스와 매젠토 오픈 소스, 그리고 1.5.3까지의 어도비 커머스 B2B다. Sansec은 어도비 시스템즈가 이 결함을 '우선순위 2'로 평가한 것이 이 사안의 위험성과 시급성을 반영하지 못한다고 지적했다.

Sansec은 단순한 Composer 설치만으로는 충분하지 않다며 관리자들이 2026년 10월 릴리스나 어도비 시스템즈의 개별 패치를 반드시 적용해야 한다고 강조했다. 또한 9월 VULN-39341 핫픽스는 그대로 유지해야 하며, BlockStrap과 StyleSmuggler는 별개의 수정 사항으로 둘 다 필요하다고 덧붙였다. Sansec은 대규모 공격 물결이 탐지되면 업데이트를 제공할 예정이며, 그 시점이 곧 올 것으로 보고 있다.