Critical BlockStrap flaw lets hackers run code on Magento servers
2026/10/16 BleepingComputer — Magento Open Source／Adobe Commerce に存在する深刻度の高い脆弱性 CVE-2026-103849 が、サイバー攻撃で悪用される可能性があると、EC サイト向けセキュリティ企業 Sansec が警告している。この BlockStrap と呼ばれる脆弱性を悪用する攻撃者は、EC サイトのサーバ上で任意の PHP コード実行を引き起こす恐れがある。Sansec によると、現時点では BlockStrap を悪用した実際の攻撃は確認されていない。しかし、すでに研究者たちは 4 つの潜在的な攻撃経路を特定しており、攻撃者が悪用方法を発見するのは時間の問題だと予測している。
特に、AI エージェントを利用することで、公開された修正パッチから攻撃コードを比較的短時間で開発できる可能性が指摘されている。Adobe は、この脆弱性を Priority 2 と評価しているが、その評価は実際の危険性と緊急性を十分に反映していないと、Sansec は警告している。
Magento／Adobe Commerce の脆弱性 CVE-2026-103849
脆弱性 CVE-2026-103849 は、Magento／Adobe Commerce のテンプレート・エンジンに存在する欠陥である。
2026年10月13日に公開された Adobe のセキュリティ情報 APSB26-153 では、テンプレート・エンジンで使用される特殊要素が、適切に無害化されない問題として説明されている。
この問題を突く攻撃者による入力が不適切に処理され、任意のコード実行につながる可能性がある。
| 項目 | 内容 |
|---|---|
| CVE ID | CVE-2026-103849 |
| 脆弱性の名称 | BlockStrap |
| 影響を受ける製品 | Magento Open Source、Adobe Commerce、Adobe Commerce B2B |
| 脆弱性の種類 | テンプレートエンジンにおけるディレクティブ注入 |
| 想定される影響 | 任意のPHPコード実行 |
| 深刻度 | 最深刻レベル |
| Adobeの対応優先度 | Priority 2 |
| Adobeのセキュリティ情報公開日 | 2026年10月13日 |
| 実際の攻撃での悪用 | 原文時点では未確認 |
| 修正方法 | 2026年10月リリースまたはAdobeの個別パッチ |
今回の脆弱性は、EC サイトのメール・テンプレート処理に関係している。
Sansec の分析では、既存のテンプレート処理における信頼境界の問題を利用する攻撃者が、意図しない処理を実行する可能性があると説明されている。
影響を受ける Adobe Commerce と Magento のバージョン
今回の脆弱性は、2026年9月のリリースに含まれる、以下の製品バージョンに影響する。
| 製品 | 影響範囲 |
|---|---|
| Adobe Commerce | 2.4.9までの対象バージョン |
| Magento Open Source | 2.4.9までの対象バージョン |
| Adobe Commerce B2B | 1.5.3までの対象バージョン |
EC サイトの管理者に対して Sansec が求めるのは、利用中の製品バージョンと修正パッチの適用状況を確認することである。なお、個別のパッチ・レベルや修正済みビルドについては、Adobe の公式セキュリティ情報で確認する必要がある。
24時間以内に 4つの攻撃経路を特定
Sansecは、CVE-2026-103849 に関する調査を開始してから 24時間以内に、4つの潜在的な攻撃経路を特定したという。
この結果を踏まえ、この脆弱性を悪用する実用的な手法を、攻撃者は比較的短期間で開発する可能性が高いと、研究者たちは判断している。特に懸念されているのが、攻撃コードの開発における AI エージェントの活用である。
Sansec の研究報告では、攻撃経路は複雑であるが、AI エージェントを使用すれば修正パッチをリバースエンジニアリングし、比較的短時間で動作するエクスプロイトを作成できる可能性があると指摘されている。
Adobe の Priority 2 評価に対する疑問
Adobe は、今回の脆弱性に Priority 2 を割り当てている。
この評価について Sansecは、今回の脆弱性が持つ危険性と対応の緊急性を十分に反映していないと主張している。
Priority 2 に対応する 30日以内のパッチ適用という考え方では、攻撃が本格化する前に対処できない恐れがあると、同社は警告している。
その根拠として、過去に Magento を標的にした、StyleSmuggler の事例を挙げている。この StyleSmuggler も、Magento のメール・テンプレート処理に関係する脆弱性だった。
StyleSmuggler では、Adobe が緊急のホットフィックスを提供した後の、わずか 3日以内に大規模な悪用が確認されたという。BlockStrap の攻撃経路の複雑性も同程度であると、Sansec は説明している。
そのため、今回も修正パッチの公開から短期間で攻撃コードが開発され、大規模な攻撃につながる可能性があると警戒している。
ただし、BlockStrap については、大規模な悪用が発生しているわけではない。つまり、過去の攻撃事例と今回の技術的な分析に基づく、Sansec の予測である。
BlockStrap の原因はメール・テンプレートの二次処理
Sansec の技術分析によると、脆弱性 BlockStrap は、テンプレート・エンジンの二次処理を悪用するディレクティブ注入に起因する。問題となるのは、子メール・テンプレートに含まれるコンテンツが、上位のテンプレート処理で再び解釈される仕組みである。
攻撃者が制御するコンテンツが、子テンプレート内に含まれている場合に、その内容が署名された上でルートレベルで再処理され、意図しないテンプレート・ディレクティブが実行される可能性があると、研究者たちは説明している。
この処理で問題となるのが、{{block}} ディレクティブだ。BlockStrap では、子メール・テンプレートに含まれる攻撃者制御のコンテンツが、後続の処理で再びテンプレート命令として解釈される可能性がある。その結果、本来は実行されるべきではない {{block}} ディレクティブが処理され、任意の PHP コード実行につながる恐れがある。
Sansec の説明によると、同じメール・テンプレート・エンジンに存在する問題が、StyleSmuggler の修正後にも残されていたことになる。つまり、BlockStrap と StyleSmuggler が同じテンプレート・エンジンに関連していても、それぞれに対して別の修正が必要になる。
Adobe は登録済みプレースホルダーによる処理に変更
Adobe が提供した修正では、テンプレートの汎用的な処理が、登録済みのプレース・ホルダーを使用する方式に置き換えられた。これにより、攻撃者が制御するコンテンツが、意図しないテンプレート命令として再処理されることが阻止される。
ただし、Sansec が警告するのは、単に Composer を使用してインストールや依存関係の更新を行うだけでは、今回の脆弱性への対策として不十分だという点だ。
EC サイトの管理者は、以下のいずれかの修正を適用する必要がある。
- Adobe Commerce／Magento の 2026年10月リリース
- Adobe が提供する BlockStrap 向けの個別パッチ
StyleSmuggler の VULN-39341 ホットフィックスも維持
Sansec は、BlockStrap と StyleSmuggler に対する修正が別々なものになる点を強調している。そのため、今回の修正を適用する際には、2026年9月に提供された StyleSmuggler 向けの VULN-39341 ホットフィックスも維持する必要がある。
| 脆弱性 | 必要な対応 |
|---|---|
| BlockStrap（CVE-2026-103849） | 2026年10月リリースまたはAdobeの個別パッチを適用 |
| StyleSmuggler | 2026年9月のVULN-39341ホットフィックスを維持 |
Sansec は、両方の問題に対応する修正が必要だと注意を促している。
Magento／Adobe Commerce 管理者に推奨される対策
今回の脆弱性について、現時点では実際の悪用が確認されていないが、Sansec は早期の対応を推奨している。EC サイトの管理者は、以下の項目を優先して確認する必要がある。
- Magento／Adobe Commerce のバージョンを確認する：利用している製品とバージョンが、CVE-2026-103849 の影響範囲に含まれていないか確認する。
- BlockStrap 向けの修正を適用する：Adobe の 2026年10月リリース、または個別パッチを適用する。
- StyleSmuggler の修正状況を確認する：VULN-39341 ホットフィックスが維持されているか確認する。
- Composer による更新だけで対処済みと判断しない：必要とされる Adobe の修正が、実際に適用されているか確認する。
- セキュリティ情報を継続的に監視する：Adobe および Sansec が公開する、新たな攻撃情報や修正情報を確認する。
特に、EC サイトのサーバで任意の PHP コードが実行される可能性があるため、影響を受ける環境では修正の適用を優先することが重要となる。
Sansec は大規模攻撃の発生を警戒
Sansec の予測は、BlockStrap を悪用する大規模な攻撃が、近く発生する可能性があるというものだ。同社は、実際に大規模な攻撃活動を検知した場合、追加情報を公開する方針だという。
今回の CVE-2026-103849 は、メール・テンプレート・エンジンの二次処理に存在する問題であり、攻撃者が制御するコンテンツが、意図しないコード実行につながる恐れがある。
また、AI エージェントを用いるパッチ解析により、攻撃コードの開発が短期間で進む可能性も指摘されている。
Magento Open Source／Adobe Commerceを運用する組織は、実際の攻撃が確認されるのを待たず、BlockStrap と StyleSmuggler に対応する修正が適用されていることを確認する必要がある。
この記事は、EC プラットフォームである Magento Open Source および Adobe Commerce における重大なセキュリティ不具合 CVE-2026-103849 について解説するものです。メールテンプレート処理における不適切な入力検証が背景に存在します。影響として、不正なテンプレート命令の実行による任意コードの実行が生じる恐れがあります。対応策として、公式の最新更新プログラムまたは個別補修プログラムの適用／過去の修正の維持確認が求められます。
You must be logged in to post a comment.