研究者らは、Magento と Adobe Commerce に影響する最高深刻度の脆弱性（CVE-2026-103849）が近く悪用される可能性があると警告しています。この脆弱性を突かれると、ストアサーバー上で任意の PHP コードを実行される恐れがあります。
EC セキュリティ企業の Sansec によると、「BlockStrap」と名付けられたこの脆弱性を悪用する攻撃は、まだ確認されていません。ただし、攻撃者が悪用手段を見つけ出すのは時間の問題だとみられています。
研究者らがこう判断した根拠は、CVE-2026-103849 を利用した攻撃経路の候補を、24 時間足らずで 4 つ特定できたことです。
この脆弱性は、Adobe Commerce と Magento Open Source の 9 月版から 2.4.9 まで、および Adobe Commerce B2B の 1.5.3 までのバージョンに影響します。
Sansec は、攻撃経路がより複雑であるとはいえ、Adobe が本脆弱性に付けた「優先度 2」という評価は、実際の危険性や緊急性を反映していないと警告しています。
「攻撃経路は複雑ですが、AI エージェントを使えば、パッチをリバースエンジニアリングして動作するエクスプロイトを比較的短時間で作成できます」と、Sansec は述べています。
「このため、Adobe の優先度 2（30 日以内のパッチ適用）という評価には疑問があります。StyleSmuggler は、優先度 1 のホットフィックスから 3 日で大規模な悪用に発展しました。BlockStrap も同程度の複雑さです」
10 月 13 日に公開された Adobe のセキュリティ情報は、この脆弱性を、テンプレートエンジンで使われる特殊要素の不適切な無害化によって任意のコード実行を招く問題と説明しています。
Sansec によると、BlockStrap は「第 2 パス」のテンプレートエンジン指令インジェクションです。子メールテンプレート内の攻撃者が制御するコンテンツが署名され、ルートレベルで再処理されることで、密かに仕込まれた {{block}} ディレクティブが実行されます。
Sansec の分析では、BlockStrap は、同じメールテンプレートエンジンにおける StyleSmuggler の修正で残された隙を突くものです。
Adobe の修正では、汎用的な処理を登録済みのプレースホルダーに置き換えることで、悪用を防いでいます。
Sansec は、通常の Composer によるインストールだけではリスクに対処できないと指摘しています。サイト管理者は 2026-oct リリースか、Adobe が提供する単独のパッチを適用する必要があります。
「BlockStrap と StyleSmuggler は、それぞれ別の修正です。両方が必要になるため、9 月の VULN-39341 ホットフィックスも適用したままにしてください」と、Sansec は注意を促しています。
この EC セキュリティ企業は、大規模な攻撃の波を検知した場合には続報を出すとしています。その時期は近いと予想しています。
