Ihre Einschätzung stützt Sansec darauf, dass die Forscher in weniger als 24 Stunden vier mögliche Angriffswege über CVE-2026-103849 identifizieren konnten.

Betroffen sind die September-Versionen von Adobe Commerce und Magento Open Source bis einschließlich 2.4.9 sowie Adobe Commerce B2B bis einschließlich 1.5.3. Adobes Sicherheitsmitteilung vom 13. Oktober beschreibt den Fehler als unzureichende Neutralisierung von Sonderzeichen in einer Template-Engine, was zur Ausführung beliebigen Codes führt.

Sansec beschreibt BlockStrap als Directive Injection in einem zweiten Durchlauf der Template-Engine: Vom Angreifer kontrollierte Inhalte in einer untergeordneten E-Mail-Vorlage werden signiert und auf Root-Ebene erneut verarbeitet, wodurch eine eingeschmuggelte {{block}}-Direktive ausgeführt wird. Damit lege die Lücke eine Lücke offen, die der Fix für StyleSmuggler in derselben E-Mail-Template-Engine hinterlassen habe. Adobes Korrektur ersetzt die generische Verarbeitung durch registrierte Platzhalter und verhindert so die Ausnutzung.

Die Einstufung von Adobe als „Priorität 2“ – also Patch innerhalb von 30 Tagen – hält Sansec für unangemessen, auch wenn der Angriffsweg komplexer sei. „Der Angriffsweg ist komplex, aber jeder mit einem KI-Agenten kann den Patch in relativ kurzer Zeit zu funktionierenden Exploits zurückentwickeln“, erklärt das Unternehmen. „Deshalb stellen wir Adobes Priorität-2-Einstufung infrage. StyleSmuggler ging innerhalb von drei Tagen von einem Priorität-1-Hotfix zu massenhafter Ausnutzung über, und BlockStrap ist von vergleichbarer Komplexität.“

Eine einfache Composer-Installation reicht Sansec zufolge nicht aus. Shop-Betreiber müssen entweder das Release 2026-oct einspielen oder Adobes isolierten Patch anwenden. Zudem seien beide Korrekturen nötig: „BlockStrap und StyleSmuggler sind getrennte Fixes. Sie brauchen beide, behalten Sie also auch den September-Hotfix VULN-39341 bei.“

Sansec kündigte an, eine Aktualisierung zu veröffentlichen, sobald das Unternehmen massenhafte Angriffswellen feststellt – womit es in Kürze rechnet.