安全公司警告 Magento 严重漏洞 BlockStrap 或遭大规模利用
Sansec 称 CVE-2026-103849 属最高严重级别，管理员需安装 2026-oct 版本或 Adobe 独立补丁，普通 Composer 安装不足以修复。
据 bleepingcomputer.com 报道，电商安全公司 Sansec 警告称，编号 CVE-2026-103849、代号 BlockStrap 的最高严重级别漏洞影响 Magento 与 Adobe Commerce，攻击者可能借此在商店服务器上执行任意 PHP 代码，相关攻击或将很快出现。
Sansec 表示，目前尚未观测到利用 BlockStrap 的攻击，但预计威胁行为者会找到利用该漏洞的方法。该机构在不到 24 小时内已识别出 4 条与 CVE-2026-103849 相关的潜在攻击路径。
该漏洞影响 9 月版本的 Adobe Commerce 与 Magento Open Source（至 2.4.9），以及 Adobe Commerce B2B（至 1.5.3）。Adobe 于 10 月 13 日发布的公告将这一缺陷描述为模板引擎中特殊元素中和不当，可导致任意代码执行。Sansec 指出，Adobe 将该漏洞评为“优先级 2”并未反映其实际危险程度与紧迫性。
Sansec 提醒，仅进行普通的 Composer 安装并不足够，管理员必须应用 2026-oct 版本或 Adobe 提供的独立补丁。该机构还表示，9 月的 VULN-39341 热修复应继续保留，因为 BlockStrap 与 StyleSmuggler 是两项需要同时安装的独立修复。
此前漏洞利用速度可供参考
StyleSmuggler 是同一邮件模板引擎中的早期漏洞，它从优先级 1 热修复到被大规模利用仅用了 3 天。Sansec 表示，当检测到大规模攻击浪潮时会提供更新，并预计这一情况很快就会发生。
快速问答
BlockStrap 漏洞的编号是什么？
该漏洞编号为 CVE-2026-103849，代号 BlockStrap。
哪些版本受到 BlockStrap 影响？
9 月版本的 Adobe Commerce 与 Magento Open Source（至 2.4.9），以及 Adobe Commerce B2B（至 1.5.3）受到影响。
如何修复 BlockStrap 漏洞？
Sansec 表示必须应用 2026-oct 版本或 Adobe 的独立补丁，普通 Composer 安装并不足够，同时应保留 9 月的 VULN-39341 热修复。