نقص بحرانی BlockStrap به هکرها اجازه می دهد تا کد را روی سرورهای مجنتو اجرا کنند

محققان هشدار می‌دهند که هکرها به زودی می‌توانند از یک آسیب‌پذیری با حداکثر شدت (CVE-2026-103849) که مجنتو و ادوبی کامرس را تحت تأثیر قرار می‌دهد، سوء استفاده کنند و به طور بالقوه به آن‌ها اجازه می‌دهد کدهای PHP دلخواه را روی سرورهای فروشگاه اجرا کنند.

به گفته شرکت امنیتی تجارت الکترونیک Sansec، حملاتی که از این آسیب‌پذیری موسوم به BlockStrap استفاده می‌کنند، هنوز مشاهده نشده‌اند، اما انتظار می‌رود عوامل تهدید راهی برای سوء استفاده از آن بیابند.

محققان ارزیابی خود را بر اساس شناسایی چهار مسیر حمله بالقوه شامل CVE-2026-103849 در کمتر از 24 ساعت انجام دادند.

این نقص بر نسخه‌های سپتامبر Adobe Commerce و Magento Open Source از طریق 2.4.9 و Adobe Commerce B2B تا 1.5.3 تأثیر می‌گذارد.

این شرکت امنیتی هشدار داد که رتبه بندی Adobe "اولویت 2" از این نقص، خطر و فوریت را در این مورد، با وجود مسیر حمله پیچیده تر، منعکس نمی کند.

Sansec می‌گوید: «مسیر حمله پیچیده است، اما هر کسی که یک عامل هوش مصنوعی داشته باشد می‌تواند وصله را در مدت زمان نسبتا کوتاهی به بهره‌برداری‌های کاری معکوس مهندسی کند.»

"به همین دلیل است که ما رتبه بندی اولویت 2 ادوبی را زیر سوال می بریم (وصله در 30 روز).

بولتن Adobe که در 13 اکتبر منتشر شد، این نقص را به عنوان خنثی سازی نادرست عناصر خاص مورد استفاده در موتور الگو توصیف می کند که منجر به اجرای کد دلخواه می شود.

Sansec توضیح می دهد که BlockStrap یک تزریق دستورالعمل موتور الگوی گذر دوم است که به محتوای کنترل شده توسط مهاجم در یک الگوی ایمیل کودک اجازه می دهد تا دوباره در سطح ریشه امضا و پردازش شود، و یک دستورالعمل {{block}} قاچاق را اجرا کند.

بر اساس تجزیه و تحلیل Sansec، BlockStrap شکاف ایجاد شده توسط StyleSmuggler را در همان موتور قالب ایمیل آشکار می کند.

رفع اشکال Adobe پردازش عمومی را با متغیرهای ثبت شده جایگزین می کند و از سوء استفاده جلوگیری می کند.

Sansec می گوید که نصب ساده Composer برای مقابله با خطر کافی نیست و مدیران وب سایت باید نسخه اکتبر 2026 یا وصله ایزوله Adobe را اعمال کنند.

Sansec هشدار می دهد: "BlockStrap و StyleSmuggler راه حل های جداگانه ای هستند. شما به هر دو نیاز دارید، بنابراین رفع فوری VULN-39341 سپتامبر را نیز در جای خود نگه دارید."

این شرکت امنیتی تجارت الکترونیک می گوید زمانی که امواج حمله انبوه را شناسایی کند، به روز رسانی را ارائه خواهد کرد، که انتظار دارد به زودی رخ دهد.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

GitLab در مورد حداکثر شدت آسیب پذیری اجرای کد هشدار می دهد

هکرها شروع به سوء استفاده از نقص مهم وردپرس برای اجرای کد می کنند

نقص افزونه پشتیبان وردپرس میلیون ها سایت را در معرض حملات تصاحب قرار می دهد

نقص Ghostscript به هکرها اجازه می دهد تا سرورها را از طریق بارگذاری PDF ربوده کنند

سیسکو در مورد ایرادات مهمی که اجازه تصاحب سوئیچ Nexus را می دهد هشدار می دهد