Magento'daki kritik BlockStrap açığı mağaza sunucularında kod çalıştırmaya imkân veriyor

BleepingComputer'ın e-ticaret güvenlik şirketi Sansec'e dayanarak 16 Ekim'de aktardığına göre, BlockStrap adı verilen ve CVE-2026-103849 olarak izlenen en yüksek önem derecesindeki açık, saldırganların Adobe Commerce ve Magento Open Source çalıştıran sunucularda istedikleri PHP kodunu çalıştırmasına imkân verebiliyor. Adobe açığı 13 Ekim'de APSB26-153 bülteniyle kapattı; ancak Sansec, üreticinin verdiği "öncelik 2" derecesinin, saldırganların açığı çevrim içi mağazalara karşı ne kadar hızlı silaha dönüştürebileceğini yansıtmadığını vurguluyor.

Neler oldu?

BleepingComputer'a göre Sansec, yamanın yayımlanmasının ardından 24 saatten kısa sürede açık için dört olası saldırı yolu belirledi. Şimdiye kadar istismar gözlenmedi, ancak Sansec saldırıların geleceğini öngörüyor ve kitlesel saldırı dalgaları tespit ederse güncelleme yayımlayacağını belirtti. Şirket, aynı motordaki önceki Magento sıfırıncı gün açığı StyleSmuggler'ın öncelik 1 acil düzeltmesinden üç gün içinde kitlesel istismara dönüştüğünü hatırlattı.

Habere göre Sansec ayrıca, "yapay zekâ ajanı olan herkesin" yamayı nispeten kısa sürede tersine mühendislikle çalışan bir istismara dönüştürebileceğini savundu.

Teknik detaylar

Adobe'nin bülteni hatayı, şablon motorunda özel öğelerin uygun şekilde etkisizleştirilmemesi olarak tanımlıyor. BleepingComputer'ın aktardığına göre BlockStrap, Magento'nun e-posta şablon motorunda ikinci geçişte gerçekleşen bir yönerge enjeksiyonu: Saldırganın kontrol ettiği, alt e-posta şablonundaki içerik imzalanıp kök seviyede yeniden işleniyor ve araya gizlenen {{block}} yönergesi çalıştırılıyor. Açık, önceki StyleSmuggler düzeltmesinin bıraktığı bir boşluğu kullanıyor. Adobe'nin düzeltmesi genel işleme yerine kayıtlı yer tutucular kullanıyor.

Kimler etkileniyor?

BleepingComputer'a göre açık, Adobe Commerce ve Magento Open Source'un 2.4.9 dahil Eylül sürümlerini ve 1.5.3 dahil Adobe Commerce B2B sürümlerini etkiliyor. Haberde açığa maruz kalan mağaza sayısı yer almıyor.

Ne yapmalı?

• Adobe'nin 2026-oct sürümünü veya CVE-2026-103849 için yayımlanan ayrı yamayı uygulayın. Sansec, yalnızca Composer ile kurulumun yeterli olmadığını belirtiyor.
• Eylül ayında yayımlanan VULN-39341 StyleSmuggler düzeltmesini kaldırmayın. Sansec'in ifadesiyle "BlockStrap ve StyleSmuggler ayrı düzeltmeler; ikisine de ihtiyacınız var."
• Öncelik 2 derecesine güvenerek yamayı ertelemeyin; e-posta şablonu değişikliklerini ve sunucu günlüklerini beklenmedik şablon yönergeleri açısından izleyin.