אדובי פרסמה תיקון לפגיעות הרצת קוד במנוע תבניות הדוא״ל של Magento ו-Adobe Commerce, שזכתה לכינוי BlockStrap. חברת Sansec טוענת שהסיכון גבוה מהדירוג של אדובי ומצפה לגל ניסיונות ניצול, ולכן כדאי לעדכן בהקדם.
| מזהה | CVE-2026-103849 (APSB26-153) |
| מוצרים מושפעים | Adobe Commerce ו-Magento Open Source עד גרסה 2.4.9 (גרסאות ספטמבר); Commerce B2B עד 1.5.3 |
| חומרה | ציון CVSS לא פורסם; מתוארת בכתבה כחומרה מרבית, ואדובי דירגה בעדיפות 2 |
| מנוצל בפועל | לא נצפה עד כה לפי Sansec |
| תיקון | קיים: גרסת 2026-oct או טלאי מבודד של אדובי |
מה קרה
לפי Sansec, מדובר בהזרקת הוראת תבנית בשלב עיבוד שני במנוע תבניות הדוא״ל: תוכן שנשלט על ידי תוקף יכול להריץ הוראת block מוברחת, ובסופו של דבר קוד PHP בשרת. אדובי מתארת זאת כנטרול לא תקין של תווים מיוחדים במנוע תבניות.
Sansec מדגישה שהפגיעות נפרדת מתיקון StyleSmuggler מספטמבר, ושניהם נדרשים. החברה מתכוונת לעדכן כשתזהה גלי תקיפה המוניים.
נקודות לשים לב
- התקן את הגרסה 2026-oct או את הטלאי המבודד של אדובי. לפי Sansec, התקנה רגילה דרך Composer אינה מספיקה.
- השאר במקומו את ה-hotfix של ספטמבר VULN-39341. הוא מטפל בבעיה אחרת ואינו מוחלף בתיקון הנוכחי.
- אל תסתמך על דירוג העדיפות 2 (תיקון בתוך 30 יום) של אדובי. Sansec חולקת עליו.
- בדוק אם החנות משתמשת ב-Commerce B2B ועדכן גם אותו.
- עדיין לא פורסמו אינדיקטורים לתקיפה, ולכן נטר שינויים לא צפויים בתבניות דוא״ל ובקבצי PHP בשרת.
מקורות: BleepingComputer · Adobe APSB26-153 · Sansec
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
