Blockstrap (CVE-2026-103849): wat Magento-shops moeten doen

CVSS 10.0. Unauthenticated code execution. En deze keer kwam de patch vóór het eerste publieke bewijs van misbruik, niet erna. Op 13 oktober 2026 bracht Adobe de fix voor Blockstrap uit onder bulletin APSB26-153. Twee dagen later meldde beveiligingsbedrijf Sansec dat het binnen 24 uur vier verschillende manieren vond om via deze kwetsbaarheid code uit te voeren op een Magento-server. Live exploitatie had Sansec op dat moment nog niet gezien.

Dat onderscheidt Blockstrap van zijn voorganger StyleSmuggler, die al actief werd misbruikt vóórdat er een patch bestond. Het betekent niet dat je kunt wachten. Adobe gaf Blockstrap zelf prioriteit 2 — patch binnen 30 dagen — en Sansec is daar openlijk kritisch over. Hieronder de feiten, inclusief wat nog niet vaststaat, en een concreet actieplan.

Wat is Blockstrap (CVE-2026-103849) precies?

Blockstrap is een kritieke, unauthenticated remote code execution-kwetsbaarheid in Magento Open Source, Adobe Commerce en Mage-OS, geregistreerd als CVE-2026-103849. CVSS-score: 10.0, het maximum. Net als StyleSmuggler valt hij onder CWE-1336, onvoldoende neutralisatie van speciale elementen in een template-engine.

De kwetsbaarheid zit, opnieuw, in Magento's e-mailtemplate-systeem. Een aanvaller verstopt een {{block}}-directive in een child-template, op een manier die de bestaande handtekening- en validatiecontroles passeert. Zodra het root-template die child-output later opnieuw scant, wordt de verstopte directive alsnog als geldig commando geïnterpreteerd. Dat commando krijgt toegang tot objecten en methodes die normaal niet van buitenaf aanroepbaar zijn. Onderzoekers noemen dit two-stage of second-pass directive processing: geen los injectiepunt, maar een injectie die zichzelf in twee stappen door de validatie heen werkt.

Welke Magento- en Adobe Commerce-versies zijn geraakt?

Volgens Sansec, en bevestigd door onafhankelijke technische analyses en bredere beveiligingsmedia:

• Adobe Commerce 2.4.4 tot en met 2.4.9 (september-release en eerder)
• Magento Open Source tot en met 2.4.9
• Adobe Commerce B2B 1.3.3 tot en met 1.5.3
• Mage-OS tot en met 3.5.0 (gefixt in 3.6.0)

De patchsituatie is ongelijk verdeeld. Adobe's geïsoleerde patches dekken alleen Open Source 2.4.7-p10, 2.4.8-p5 en 2.4.9. Draai je nog op 2.4.6 of ouder, dan is er geen directe patch beschikbaar. Die versies moeten eerst upgraden voordat dit probleem opgelost kan worden. Precies het scenario waar we in Magento 2.4 versies en end-of-support al voor waarschuwden: wie te lang op een oude 2.4.x-release blijft hangen, kan een kwetsbaarheid als deze niet eens patchen zonder eerst te upgraden.

Nog een addertje: Sansec meldt dat een gewone composer update de kwetsbaarheid niet per definitie oplost. Controleer of de functie resolveDeferredDirectives daadwerkelijk in je gedeployde code staat. Staat die er niet, dan is de patch niet toegepast, ook al denk je dat je up-to-date bent.

Tijdlijn: van patch tot publicatie

Vergelijk dat met StyleSmuggler, waar de volgorde omgekeerd was: eerst misbruik, dan de patch. Bij Blockstrap bestaat de patch al vanaf dag één van de publieke berichtgeving. Dat is winst, maar geen vrijbrief om te wachten.

Is Blockstrap al actief misbruikt?

Op het moment van schrijven: niet bevestigd. Sansec meldt expliciet dat het nog geen Blockstrap-aanvallen op live shops heeft waargenomen. We checkten dit ook zelf, direct tegen de officiële bron: CVE-2026-103849 staat niet in de Known Exploited Vulnerabilities-catalogus van CISA. StyleSmuggler (CVE-2026-75650) staat daar wél in. Dat verschil is een harde indicator dat de twee kwetsbaarheden zich in een andere fase van hun levenscyclus bevinden.

De eerlijke versie: "nog niet waargenomen" is geen garantie voor morgen. Sansec vond binnen één dag vier werkende manieren om de kwetsbaarheid te misbruiken. Aanvallers die nu met dezelfde bulletin-tekst aan de slag gaan, hebben geen maanden nodig om tot hetzelfde resultaat te komen.

Een onafhankelijke reproductie door security-onderzoeker dinosn bevestigt het eerste deel daarvan hard: een anonieme guest-checkout request triggert de directive-injectie en block-dispatch daadwerkelijk, via publieke GraphQL-calls en een mislukte-betaling-e-mail. Wat die reproductie niet aantoont, is kant-en-klare RCE op standaard Magento-code: om id daadwerkelijk uit te voeren moest de onderzoeker een eigen, niet-standaard gadget-module installeren. Een zoektocht naar een bruikbare gadget in de standaard Magento-codebase leverde niets op. Dat verandert niets aan Adobe's CVSS 10.0 of aan de patchurgentie, de injectie zelf is bevestigd écht en onauthenticated bereikbaar, maar het relativeert "kant-en-klare RCE" tot wat het op dit moment is: een bevestigd risico in theorie, geen publiek aangetoond feit in de praktijk op ongewijzigde code. Shops zonder PayPal-checkout of met guest checkout uitgeschakeld hebben op deze specifieke route een kleiner aanvalsoppervlak.

De relatie met StyleSmuggler: wat Sansec er precies over zegt

Hier gaan berichten elkaar makkelijk overschrijven, dus we blijven dicht bij de bron. Sansec noemt Blockstrap zelf "a second-pass directive injection, like StyleSmuggler" — dezelfde kwetsbaarheidsklasse (CWE-1336), deels dezelfde laag (het e-mailtemplate-systeem). Maar Sansec is er ook expliciet over dat het geen bypass van de StyleSmuggler-patch is: "BlockStrap and StyleSmuggler are separate fixes. You need both."

Preciezer gezegd: Blockstrap vult een gat op dat de StyleSmuggler-fix (hotfix VULN-39341) openliet in diezelfde laag, maar is een eigen, afzonderlijk geregistreerde kwetsbaarheid met een eigen patch. Het is geen methode om de StyleSmuggler-patch specifiek te omzeilen. Wie alleen de StyleSmuggler-hotfix heeft geïnstalleerd en denkt daarmee klaar te zijn met deze hele categorie, heeft het mis. Wie de StyleSmuggler-hotfix verwijdert omdat er nu een Blockstrap-patch is, ook. Beide moeten blijven staan.

Wat we niet met zekerheid kunnen zeggen, omdat geen van onze bronnen dat technisch uitwerkt: of de exacte code-paden van Blockstrap en StyleSmuggler elkaar op functieniveau overlappen, of dat het twee volledig gescheiden injectiepunten zijn binnen hetzelfde systeem. Sansec's eigen publieke research bevestigt de klasse en de laag, niet de precieze overlap in code. Dat soort precisie claimen we dus niet, want niemand van onze bronnen documenteert dat hard.

Voor wat StyleSmuggler zelf inhoudt en hoe je dat patcht: StyleSmuggler (CVE-2026-75650): wat moet je nu doen?.

Wat moet je nu doen: patch, verifieer, monitor

1. Patch via APSB26-153. Installeer de isolated patch voor jouw 2.4.x-versie, of upgrade eerst als je op 2.4.6 of ouder draait. Een gewone composer-update is niet genoeg om aan te nemen dat je klaar bent.
2. Verifieer de patch technisch. Check of resolveDeferredDirectives daadwerkelijk in je gedeployde codebase staat. "Ik heb de composer-update gedraaid" is geen bevestiging.
3. Laat de StyleSmuggler-hotfix (VULN-39341) staan. Dit is geen vervanging daarvan. Beide patches moeten tegelijk actief zijn.
4. Monitor je logs op ongewone activiteit rond het e-mailtemplate-systeem. Geen bevestigd misbruik betekent niet geen risico. Dezelfde signalen die we noemden bij StyleSmuggler — onverklaarbare PHP-bestanden, cron-jobs die je niet hebt ingesteld, afwijkend netwerkverkeer — gelden hier evengoed. Een stappenplan voor als je toch iets vindt, staat in Magento 2 gehackt — wat nu?.

Twijfel je of je shop kwetsbaar is, of wil je dit niet alleen uitzoeken? Via onze Magento support-dienst nemen we patch en verificatie voor je uit handen.

De eerlijke versie: prioriteit 2 is een discussiepunt, geen vaststaand feit

Adobe classificeert Blockstrap als prioriteit 2: patch binnen 30 dagen. Sansec is daar kritisch over en vindt dat die classificatie geen recht doet aan het risico van een CVSS 10.0, unauthenticated RCE. Wij delen die twijfel. Een prioriteitslabel van een vendor is een inschatting, geen garantie dat aanvallers zich daar iets van aantrekken.

Wat dit concreet betekent: wacht niet op een vermelding in CISA's KEV-catalogus of op nieuws van actief misbruik voordat je patcht. Bij StyleSmuggler was dat te laat. Bij Blockstrap heb je nu, uniek genoeg, wél de kans om voor te zijn in plaats van achteraf op te ruimen.

Een shop die structureel op een ondersteunde 2.4.x-versie draait met een vast patchritme, hoeft dit soort discussies niet te voeren. Daarover gaat Magento 2.4.x upgrade als dienst. Hoe je ervoor zorgt dat zo'n patch zonder downtime binnenkomt, staat in security patches installeren zonder downtime.

Samengevat

• Blockstrap (CVE-2026-103849) is een kritieke, unauthenticated RCE in Magento Open Source, Adobe Commerce en Mage-OS. CVSS 10.0.
• Geraakt: Adobe Commerce 2.4.4-2.4.9, Open Source t/m 2.4.9 (2.4.6 en ouder: geen directe patch, eerst upgraden), B2B 1.3.3-1.5.3, Mage-OS t/m 3.5.0.
• Adobe's patch (APSB26-153, 13 oktober 2026) bestond al vóór het eerste publieke onderzoek. Een gewone composer-update is mogelijk niet genoeg — verifieer technisch.
• Geen bevestigd misbruik op live shops op moment van schrijven, en geen vermelding in CISA's KEV-catalogus. Dat is geen garantie voor morgen.
• Blockstrap is géén bypass van de StyleSmuggler-patch. Het is een afzonderlijke kwetsbaarheid in dezelfde laag — Sansec noemt het zelf "separate fixes, you need both." Houd beide hotfixes actief.

Veelgestelde vragen

Wat is Blockstrap (CVE-2026-103849)?

Een kritieke, unauthenticated remote code execution-kwetsbaarheid in Magento Open Source, Adobe Commerce en Mage-OS. CVSS-score 10.0. Een aanvaller kan zonder in te loggen code uitvoeren via een tweetraps-manipulatie van Magento's e-mailtemplate-systeem.

Is Blockstrap een bypass van de StyleSmuggler-patch?

Nee. Sansec noemt het zelf "separate fixes" — Blockstrap en StyleSmuggler zijn allebei apart geregistreerde kwetsbaarheden in dezelfde categorie (template-engine injectie, CWE-1336), elk met een eigen patch. Je hebt beide hotfixes nodig; de ene vervangt de andere niet.

Is mijn shop al aangevallen via Blockstrap?

Op het moment van schrijven heeft Sansec geen misbruik op live shops waargenomen, en CVE-2026-103849 staat niet in CISA's Known Exploited Vulnerabilities-catalogus. Dat betekent niet dat het risico nul is: Sansec vond zelf binnen 24 uur vier werkende manieren om de kwetsbaarheid te misbruiken.

Welke Magento-versies moet ik patchen voor Blockstrap?

Adobe Commerce 2.4.4 tot en met 2.4.9, Magento Open Source tot en met 2.4.9, Adobe Commerce B2B 1.3.3 tot en met 1.5.3, en Mage-OS tot en met 3.5.0. Draai je Open Source 2.4.6 of ouder, dan is er geen directe patch; die versies moeten eerst upgraden.

Moet ik de StyleSmuggler-hotfix verwijderen nu Blockstrap gepatcht is?

Nee. Beide hotfixes dekken een ander deel van hetzelfde probleemgebied. Verwijder de StyleSmuggler-hotfix (VULN-39341) niet. Installeer de Blockstrap-patch (APSB26-153) ernaast, niet in plaats daarvan.