Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

BlockStrap w Magento i Adobe Commerce pozwala wykonać kod PHP, łatka z 13 października

Luka CVE-2026-103849 w silniku szablonów e-mail Magento i Adobe Commerce pozwala uruchomić dowolny kod PHP na serwerze sklepu. Adobe wydało poprawkę 13 października.

Karta wpisu: BlockStrap w Magento i Adobe Commerce pozwala wykonać kod PHP, łatka z 13 października

Luka CVE-2026-103849, nazwana BlockStrap, pozwala wykonać dowolny kod PHP na serwerze sklepu Magento lub Adobe Commerce. Adobe opublikowało poprawkę 13 października. Według firmy Sansec ataków jeszcze nie zaobserwowano, ale badacze w niecałą dobę znaleźli cztery możliwe ścieżki ataku. Błąd siedzi w silniku szablonów e-mail i wykorzystuje lukę pozostawioną przez poprawkę wcześniejszego błędu StyleSmuggler. Adobe nadało mu priorytet 2, czyli łatkę w ciągu 30 dni. Sansec kwestionuje tę ocenę: StyleSmuggler przeszedł od pilnej poprawki do masowych ataków w trzy dni, a według badaczy osoba z agentem AI może w krótkim czasie odtworzyć z łatki działający exploit.

Kogo dotyczy

Sklepy działające na Magento Open Source do wersji 2.4.9, na wrześniowych wersjach Adobe Commerce oraz na Adobe Commerce B2B do wersji 1.5.3.

Co zrobić

Zainstaluj wydanie 2026-oct albo osobną łatkę Adobe. Według Sansec sama instalacja przez Composer nie usuwa zagrożenia. Poprawka zastępuje ogólne przetwarzanie szablonów zarejestrowanymi symbolami zastępczymi.

TAB. 2

Źródła

1
BleepingComputer — Critical BlockStrap flaw lets hackers run code on Magento serversbleepingcomputer.com
TAB. 3

Powiązane

3
05.11.2026PodatnościSkaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Out
05.11.2026PodatnościOpenSSH łata krytyczne obejście hasła na Linuksie z musl libc bez PAM
05.11.2026PodatnościAplikacja bez kodu i uprawnień wprowadza telefon w pętlę restartów, poprawki nie będzie

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com