En bref

  • Adobe classe CVE-2026-103849 comme critique, avec un score maximal de 10,0, et confirme qu’aucune authentification n’est nécessaire pour l’exploiter.
  • La faille touche le moteur qui transforme les modèles de courriel en messages, où des données contrôlées par un attaquant peuvent être interprétées comme des instructions.
  • Adobe et Sansec n’ont observé aucune exploitation réelle au moment de leurs publications, mais Sansec dit avoir reproduit quatre chemins d’attaque en moins de 24 heures.
  • Le correctif d’octobre ne remplace pas celui de septembre contre StyleSmuggler, les administrateurs doivent donc conserver les deux protections.

Une faille critique corrigée avant les premières attaques connues

Adobe a publié le 13 octobre 2026 une mise à jour qui corrige BlockStrap, identifiée sous la référence CVE-2026-103849. Une CVE est un identifiant public attribué à une vulnérabilité informatique. La faille concerne Adobe Commerce, sa déclinaison B2B et Magento Open Source, trois logiciels utilisés pour exploiter des boutiques en ligne. Elle permettrait à un attaquant non connecté d’exécuter du code sur le serveur du commerçant.

Cette capacité donne un enjeu très concret au correctif. Du code lancé sur le serveur peut agir dans l’environnement même qui fait fonctionner la boutique. Adobe qualifie donc la faille de critique et lui attribue un score CVSS de 10,0, le maximum. Le CVSS est une échelle standard qui mesure la gravité technique d’une vulnérabilité. Adobe et Sansec indiquent toutefois qu’aucune exploitation réelle n’avait été observée lors de leurs publications.

Un nouveau défaut dans la fabrication des courriels

BlockStrap se situe dans le moteur de modèles de courriel de Magento. Ce composant transforme un texte préparé à l’avance en message final, en remplaçant certaines instructions par du contenu. Adobe décrit une neutralisation insuffisante de caractères spéciaux dans ce moteur. En termes simples, le logiciel ne distingue pas toujours correctement une donnée ordinaire d’une instruction à exécuter pendant la fabrication du courriel.

Selon l’analyse de Sansec, le problème apparaît lors d’un second passage sur le modèle. Du contenu contrôlé par l’attaquant, placé dans un modèle enfant, peut être signé puis relu au niveau principal. Une directive block dissimulée est alors traitée par le moteur de rendu. Elle peut conduire à l’exécution de code PHP arbitraire. PHP est le langage utilisé côté serveur par Magento pour faire fonctionner ses pages et ses traitements.

Le précédent correctif avait laissé un passage

Cette faille prolonge un problème découvert dans le même moteur de courriel. Le 7 septembre 2026, Adobe avait diffusé un correctif urgent contre StyleSmuggler, référencé CVE-2026-75650. Cette première protection signait les directives considérées comme fiables. D’après Sansec, des données hostiles pouvaient néanmoins encore obtenir cette signature dans un modèle enfant, puis être analysées une seconde fois dans le modèle principal.

Le correctif d’octobre change cette logique. Au lieu de relancer un traitement générique, il utilise des emplacements enregistrés à l’avance. Cette modification empêche le contenu ajouté par un attaquant de devenir une nouvelle instruction lors du second passage. Adobe précise que la mise à jour d’octobre doit s’ajouter au correctif StyleSmuggler de septembre. Sansec insiste aussi sur cette séparation, car les deux failles nécessitent deux protections distinctes.

Le calendrier de mise à jour suscite un désaccord

Adobe classe cette mise à jour en priorité 2 et recommande une installation dans un délai de 30 jours. Selon Sansec, Adobe réserve sa priorité 1 aux failles déjà exploitées. L’absence d’attaque connue explique donc ce classement, malgré le score technique maximal. Cette différence illustre deux mesures distinctes, la gravité potentielle d’une faille et l’urgence fondée sur les attaques effectivement constatées.

Sansec conteste néanmoins ce délai. L’entreprise affirme avoir reproduit quatre chemins menant à l’exécution de code en moins de 24 heures après la publication du correctif. Elle estime que des attaquants pourraient analyser les changements logiciels et fabriquer rapidement un outil d’exploitation, notamment avec l’aide d’un agent d’intelligence artificielle. Cette prévision reste celle de Sansec. Les documents disponibles ne signalent toujours aucune attaque BlockStrap contre une boutique réelle.

Des versions corrigées, mais une installation à vérifier

Les versions de septembre et les éditions antérieures sont concernées, jusqu’à Adobe Commerce et Magento Open Source 2.4.9, ainsi qu’Adobe Commerce B2B 1.5.3. Adobe propose des éditions datées d’octobre pour les branches prises en charge. Sansec avertit qu’une installation ordinaire avec Composer ne suffit pas si elle conserve une base vulnérable. Composer est l’outil qui télécharge et organise les composants logiciels utilisés par une application PHP.

Les administrateurs doivent appliquer la version d’octobre ou le correctif isolé fourni par Adobe, tout en gardant le correctif de septembre. Sansec recommande aussi de contrôler directement la présence de la fonction resolveDeferredDirectives dans le fichier Template.php concerné. Cette vérification vise les déploiements qui semblent réussis alors qu’une partie du correctif a pu être ignorée. Pour Mage OS, Sansec indique que les versions jusqu’à 3.5.0 sont touchées et que la version 3.6.0 contient la correction.

Ce qui reste à confirmer

Adobe et Sansec déclaraient ne connaître aucune exploitation réelle au 15 octobre 2026. Les quatre chemins d’attaque, le risque d’une exploitation rapide, les détails du second passage et la situation de Mage OS proviennent de la seule analyse de Sansec. Le dossier ne fournit ni nombre de boutiques exposées, ni preuve d’attaque, ni évaluation indépendante des scénarios reproduits.

Sources consultées