Una vulnerabilidad crítica denominada BlockStrap (CVE-2026-103849) ha sido detectada en las plataformas de comercio electrónico Magento y Adobe Commerce, lo que podría permitir a atacantes ejecutar código PHP arbitrario en los servidores de las tiendas afectadas. La alerta fue emitida por la empresa de seguridad en comercio electrónico Sansec, que advirtió sobre la posible explotación inminente de esta falla.
Detalles técnicos y alcance de la vulnerabilidad
El defecto afecta a las versiones de septiembre de Adobe Commerce y Magento Open Source hasta la 2.4.9, así como a Adobe Commerce B2B hasta la 1.5.3. Según el boletín oficial publicado por Adobe el 13 de octubre, la vulnerabilidad se debe a una neutralización inadecuada de elementos especiales en el motor de plantillas, lo que permite la ejecución arbitraria de código.
Sansec explicó que BlockStrap es una inyección de directivas en el motor de plantillas de segundo paso, que posibilita que contenido controlado por un atacante en una plantilla de correo electrónico secundaria sea procesado nuevamente a nivel raíz, ejecutando una directiva {{block}} oculta.
Contexto y relación con vulnerabilidades previas
Esta falla representa una brecha que quedó tras la corrección de una vulnerabilidad anterior llamada StyleSmuggler, también en el motor de plantillas de correo electrónico. Adobe ha corregido BlockStrap reemplazando el procesamiento genérico por marcadores de posición registrados, lo que impide su explotación.
Sansec advirtió que una instalación estándar con Composer no es suficiente para mitigar el riesgo y que los administradores deben aplicar el parche de octubre de 2026 o el parche aislado de Adobe. Además, enfatizaron que ambas vulnerabilidades, BlockStrap y StyleSmuggler, requieren correcciones independientes y deben mantenerse ambas actualizaciones para garantizar la seguridad.
Evaluación de riesgos y recomendaciones
La firma calificó la valoración de prioridad 2 otorgada por Adobe como insuficiente, dado que la complejidad del ataque puede ser superada rápidamente mediante agentes de inteligencia artificial que reversionan el parche para generar exploits funcionales en corto tiempo. Sansec anticipa que pronto se podrían observar oleadas masivas de ataques aprovechando esta vulnerabilidad.
Por lo tanto, se recomienda a los administradores de tiendas basadas en Magento y Adobe Commerce actualizar sus sistemas con los parches correspondientes y mantener las medidas de seguridad vigentes para evitar compromisos que permitan la ejecución remota de código malicioso.
