Pesquisadores da empresa de segurança Sansec alertam que criminosos podem em breve explorar uma falha de gravidade máxima, identificada como CVE-2026-103849 e apelidada de BlockStrap, que afeta o Magento e o Adobe Commerce. Pela descrição, ela pode permitir que invasores executem código PHP arbitrário nos servidores das lojas virtuais.

Até o momento, a Sansec não observou ataques usando essa falha, mas acredita que criminosos devem encontrar uma forma de explorá-la. A avaliação se baseou na identificação de quatro possíveis caminhos de ataque em menos de 24 horas. A falha atinge versões de setembro do Adobe Commerce e do Magento Open Source até a 2.4.9, além do Adobe Commerce B2B até a 1.5.3.

A empresa critica a classificação de prioridade 2 que a Adobe deu à falha, que pede correção em até 30 dias. Segundo a Sansec, o caminho de ataque é complexo, mas alguém com um agente de IA pode transformar a correção em exploração funcional em pouco tempo. Ela lembra que outra falha, StyleSmuggler, saiu de um hotfix de prioridade 1 para exploração em massa em três dias.

Para entender a falha de forma simples, pense em um formulário de e-mail que reaproveita um modelo de texto: o BlockStrap aproveita uma brecha em que conteúdo controlado pelo atacante é assinado e processado de novo no nível principal, levando um comando escondido. A Sansec diz que ela é uma lacuna deixada pela correção da StyleSmuggler no mesmo mecanismo de modelos de e-mail.

A Adobe publicou o boletim em 13 de outubro. Segundo a Sansec, a instalação simples pelo Composer não resolve o risco. Os administradores devem aplicar a versão de lançamento 2026-oct ou o patch isolado da Adobe, e manter também o hotfix de setembro VULN-39341, pois as duas correções são independentes. A empresa promete atualizar quando detectar ondas de ataques em massa, que espera que ocorram em breve.