CVSS 10.0, unauthentifizierter Zugang, beliebiger PHP-Code auf dem Shop-Server. Die BlockStrap-Lücke CVE-2026-103849 in Magento Open Source und Adobe Commerce ist die schlimmste Art von Sicherheitslücke, die es gibt. Adobe hat sie am 13. Oktober im Bulletin APSB26-153 gepatcht. Die Sicherheitsfirma Sansec vergleicht das Ausmaß mit StyleSmuggler, der sechs Wochen zuvor als Zero-Day massenhaft ausgenutzt wurde.
Was genau ist BlockStrap?
BlockStrap ist eine Template-Injection in der E-Mail-Engine von Magento. Angreifer schleusen über Eingabeformulare im Shop kontrollierte Daten in untergeordnete E-Mail-Templates ein. Diese Inhalte passieren die Signaturprüfung und werden auf Root-Ebene ein zweites Mal gelesen. Dort wird eine geschmuggelte {{block}}-Direktive als gültiger Befehl interpretiert und ausgeführt. Adobe klassifiziert den Fehler als CWE-1336, unzureichende Neutralisierung spezieller Elemente in einer Template-Engine.
Die Lücke ist kein eigenständiger Fehler. Sie nutzt eine Lücke, die der StyleSmuggler-Hotfix VULN-39341 vom 7. September offen gelassen hat. Beide Patches müssen daher installiert sein, einer allein schützt nicht. Adobe selbst ersetzt mit dem Oktober-Patch die generische erneute Prüfung durch registrierte Platzhalter, was die Ausnutzung grundsätzlich verhindert.
Wie gefährlich ist die Lücke wirklich?
Adobe stuft BlockStrap als Priority 2 ein, was eine Patch-Frist von 30 Tagen bedeutet. Sansec hält das für falsch. Das Forschungsteam um vozec, der die Lücke gefunden hat, reproduzierte innerhalb von 24 Stunden vier verschiedene Angriffspfade. Bis zum 16. Oktober waren keine Angriffe auf Live-Shops bekannt. Die Erfahrung mit StyleSmuggler spricht gegen ein Abwarten: Von der Priority-1-Warnung bis zur Massenausnutzung vergingen drei Tage.
Was Händler jetzt tun müssen
Betroffen sind Magento Open Source bis 2.4.9, Adobe Commerce bis 2.4.9, Adobe Commerce B2B bis 1.5.3 und Mage-OS bis 3.5.0, jeweils Stand September 2026 und älter. Öffentliche Patches gibt es für Open Source 2.4.7-p10, 2.4.8-p5 und 2.4.9. Für 2.4.4 bis 2.4.6 benötigt man eine Adobe Commerce-Lizenz. Betreiber von Open Source 2.4.6 oder älter müssen auf 2.4.7-p10 oder höher aktualisieren, ein direkter Patch existiert nicht.
Ein reines Composer-Update reicht nicht aus. Adobe stellt einen isolierten Patch bereit, den manuell angewendet werden muss. Zur Kontrolle: Der Befehl grep -c resolveDeferredDirectives vendor/magento/framework/Filter/Template.php muss einen Wert ungleich 0 liefern. Null bedeutet, der Fix fehlt. Mage-OS-Nutzer aktualisieren das Metapaket auf 3.6.0, veröffentlicht am 14. Oktober.
Das Bulletin APSB26-153 enthält übrigens 11 CVEs, davon fünf Critical. Neben BlockStrap fallen CVE-2026-92909 (Code-Ausführung in B2B, CVSS 9.8) und zwei stored-XSS-Lücken mit Privilege Escalation (CVSS 9.3) auf. Wer Magento betreibt, sollte das komplette Bulletin durchgehen, nicht nur den BlockStrap-Patch installieren.