CVE-2026-103849 : Magento BlockStrap RCE CVSS 10 sans auth

Les faits

Le 13 octobre 2026, Adobe publie son bulletin de sécurité APSB26-153, corrigeant notamment CVE-2026-103849, surnommé « BlockStrap » par les chercheurs de Sansec. Cette vulnérabilité affecte le moteur de rendu d'emails transactionnels de Magento Open Source et d'Adobe Commerce, et permet à un attaquant non authentifié d'exécuter du code PHP arbitraire sur le serveur cible. Le score CVSS v3.1 atteint 10.0 (Critique, vecteur AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H), soit le maximum absolu : réseau, faible complexité, aucun privilège, aucune interaction utilisateur, scope modifié, impact total sur confidentialité, intégrité et disponibilité.

BlockStrap exploite une faiblesse architecturale dans le système de traitement des directives de templates d'emails de Magento. Ce moteur de templates interprète des directives encadrées d'accolades doubles, comme {{block}} et {{var}}, pour construire dynamiquement les emails transactionnels (confirmations de commande, alertes de compte, notifications d'expédition). Un mécanisme de signature protège théoriquement les contenus avant leur rendu, empêchant l'injection de directives malveillantes. BlockStrap contourne cette protection par une injection en deux passes, répertoriée sous CWE-1336 (Improper Neutralization of Special Elements Used in a Template Engine).

La chaîne d'exploitation, reproduite et publiée par Sansec dans les 24 heures suivant la sortie du patch, fonctionne en deux étapes précises. En première étape, l'attaquant injecte une chaîne malveillante contenant une directive {{block}} dissimulée dans l'un des nombreux champs accessibles depuis la façade publique du site : formulaires d'inscription, champs d'adresse de livraison, options de personnalisation de commande ou champs de commentaires. Ces champs ne requièrent aucune authentification pour être remplis et leur contenu est stocké en base de données comme données utilisateur légitimes.

En deuxième étape, lors de l'envoi automatique d'un email transactionnel déclenché par l'action de l'attaquant, le moteur de templates de Magento traite en premier lieu le contenu du template enfant, le signe, puis le rescanne au niveau du template racine (root). C'est là que réside la faille critique : lors du rescan au niveau root, la directive {{block}} smugglée dans les données utilisateur est interprétée comme une commande légitime du moteur de templates. Elle accède ainsi à des objets et méthodes PHP normalement protégés de l'accès externe, aboutissant à l'exécution de code PHP arbitraire avec les permissions du processus web.

Sansec a documenté publiquement quatre chaînes d'attaque fonctionnellement différentes, exploitant des points d'injection distincts dans l'application. L'éditeur souligne que des acteurs malveillants devraient être capables de reproduire ces vecteurs avec un délai similaire ou inférieur. Au 18-19 octobre 2026, aucune exploitation active n'a été confirmée sur des boutiques en production. Toutefois, compte tenu du délai habituel entre publication d'un PoC et début des campagnes Magecart, la fenêtre de risque est considérée comme critique par l'ensemble de la communauté de sécurité e-commerce.

BlockStrap n'est pas isolé dans le paysage des vulnérabilités Magento de l'automne 2026. StyleSmuggler (CVE-2026-75650, CVSS 10.0) avait déjà exploité le même vecteur d'attaque dans le composant d'emails de Magento quelques semaines auparavant, avec exploitation active confirmée sur des boutiques en production. La répétition de ce pattern sur le même composant suggère une problématique architecturale systémique dans la gestion du cycle de vie des templates Magento. Adobe recommande explicitement d'appliquer les deux patches indépendamment — le correctif StyleSmuggler (hotfix VULN-39341, septembre 2026) ET le correctif BlockStrap (APSB26-153, octobre 2026).

Un point d'attention critique concerne la méthode de déploiement du patch : contrairement aux mises à jour habituelles de Magento qui s'appliquent via Composer ou le gestionnaire de packages intégré, APSB26-153 nécessite une application manuelle du correctif. Les nouvelles installations de Magento effectuées après le 13 octobre 2026 ne bénéficient pas automatiquement du patch. Les opérateurs qui déploient de nouvelles instances depuis le dépôt officiel doivent vérifier que le patch a bien été appliqué manuellement après l'installation initiale. Cette contrainte opérationnelle augmente significativement le risque d'exposition pour les environnements récemment déployés ou migrés.

La surface d'attaque mondiale est considérable. Selon les données de BuiltWith et W3Techs, Magento et Adobe Commerce alimentent plusieurs centaines de milliers de boutiques en ligne dans le monde, avec une présence particulièrement forte en Europe et en Amérique du Nord. La plateforme est une cible historiquement privilégiée pour les groupes cybercriminels spécialisés dans le skimming Magecart (vol de données de cartes bancaires en temps réel) et les campagnes de ransomware ciblant le secteur du commerce en ligne. Selon Sansec, dont la spécialité est précisément la sécurité Magento, les boutiques compromises via des vulnérabilités RCE sont systématiquement utilisées pour injecter des skimmers JavaScript visant les données de paiement des clients finaux.

Impact et exposition

CVE-2026-103849 affecte toute installation de Magento Open Source ou Adobe Commerce en version 2.4.9 ou inférieure n'ayant pas appliqué manuellement APSB26-153. L'exploitation ne requiert ni compte utilisateur valide, ni configuration particulière côté serveur, ni restriction d'accès réseau. Elle est exploitable depuis l'Internet public dès lors que l'attaquant peut atteindre la façade publique de la boutique. Les conditions d'exploitation se résument à l'envoi de données malveillantes dans un champ de formulaire public suivi d'un déclencheur d'email transactionnel — une interaction que n'importe quel robot automatisé peut reproduire.

L'impact en cas d'exploitation est maximal sur les trois dimensions CIA : confidentialité (accès complet à la base de données clients, historique des commandes, tokens de session, données de configuration incluant potentiellement des clés API de processeurs de paiement), intégrité (modification du catalogue produit, injection de code malveillant dans les pages de checkout, création de backdoors persistantes dans le système de fichiers), et disponibilité (arrêt total du service, chiffrement par ransomware des données et sauvegardes). Pour les boutiques traitant des paiements en ligne, une compromission déclenche des obligations légales de notification RGPD dans les 72 heures et des audits PCI-DSS pouvant entraîner des sanctions financières significatives.

Les agences et intégrateurs Magento qui maintiennent des portefeuilles de boutiques clientes doivent traiter ce patch comme priorité absolue. Une gestion centralisée des correctifs pour l'ensemble des boutiques sous contrat de maintenance est indispensable. Les boutiques en phase de migration ou de mise à jour vers Magento 2.4.9 doivent intégrer l'application de APSB26-153 dans le processus de déploiement.

Recommandations immédiates

• Appliquer manuellement le patch du bulletin Adobe APSB26-153 (13 octobre 2026) — ne pas attendre une mise à jour automatique via Composer
• Vérifier également la présence du correctif StyleSmuggler (hotfix VULN-39341, septembre 2026) — les deux patches sont indépendants et tous deux obligatoires
• Pour les nouvelles installations effectuées après le 13 octobre 2026 : appliquer le patch manuellement avant mise en production
• Auditer les logs d'accès pour identifier des soumissions de formulaires contenant les chaînes {{block, {{var ou leurs variantes encodées
• Déployer des règles WAF ciblant les injections de directives de templates Magento dans les champs de formulaire publics
• Surveiller les processus PHP enfants inattendus et les connexions réseau sortantes depuis le serveur web