Celah Kritis BlockStrap Memungkinkan Peretas Menjalankan Kode Berbahaya di Server Magento
Para peneliti keamanan siber memperingatkan bahwa pelaku ancaman dapat segera mengeksploitasi kerentanan dengan tingkat keparahan maksimum (CVE-2026-103849) yang berdampak pada platform Magento dan Adobe Commerce. Celah keamanan ini berpotensi memungkinkan peretas untuk mengeksekusi kode PHP arbitrer secara leluasa pada server toko daring (e-commerce).
Menurut laporan firma keamanan e-commerce Sansec, serangan aktif yang memanfaatkan kerentanan berjuluk BlockStrap ini memang belum terpantau di lapangan hingga saat ini. Kendati demikian, para pelaku ancaman diperkirakan akan segera menemukan cara untuk mengeksploitasinya dalam waktu dekat.
Penilaian tersebut didasarkan pada keberhasilan tim peneliti Sansec dalam mengidentifikasi sedikitnya empat jalur serangan potensial yang melibatkan CVE-2026-103849 hanya dalam kurun waktu kurang dari 24 jam.
Kerentanan ini secara spesifik berdampak pada rilis bulan September untuk Adobe Commerce dan Magento Open Source hingga versi 2.4.9, serta Adobe Commerce B2B hingga versi 1.5.3.
Kritik Terhadap Peringkat Prioritas Adobe dan Risiko Eksploitasi Berbasis AI
Pihak Sansec memperingatkan bahwa penetapan peringkat “Priority 2” oleh Adobe terhadap celah keamanan ini tidak mencerminkan tingkat bahaya dan urgensi yang sebenarnya di lapangan, meskipun jalur serangannya tergolong cukup kompleks.
Sansec menegaskan bahwa meskipun alur serangannya rumit, siapa pun yang memanfaatkan bantuan AI agent kini dapat melakukan rekayasa balik (reverse-engineer) terhadap kode patch untuk menghasilkan exploit yang berfungsi penuh dalam waktu yang relatif singkat. Atas dasar itulah, Sansec mempertanyakan pemberian peringkat Priority 2 dari Adobe (yang menyarankan penambalan dalam waktu 30 hari). Sebagai perbandingan, kerentanan StyleSmuggler sebelumnya berubah dari rilis hotfix Priority 1 menjadi sasaran eksploitasi massal hanya dalam waktu tiga hari, dan BlockStrap memiliki tingkat kompleksitas teknis yang serupa.
Berdasarkan buletin keamanan resmi Adobe yang diterbitkan pada 13 Oktober 2026, celah ini dideskripsikan sebagai kegagalan netralisasi elemen khusus yang digunakan di dalam template engine, yang pada akhirnya membuka jalan bagi eksekusi kode arbitrer (arbitrary code execution).
Lebih lanjut, Sansec menjelaskan bahwa BlockStrap merupakan teknik injeksi direktif template engine tahap kedua (second-pass). Celah ini memungkinkan konten yang dikendalikan oleh penyerang di dalam child email template untuk ditandatangani dan diproses ulang pada level root, sehingga berhasil mengeksekusi direktif {{block}} yang diselundupkan.
Dari hasil analisis teknis Sansec, kerentanan BlockStrap ini pada dasarnya mengekspos celah tersisa yang belum tertutup oleh perbaikan StyleSmuggler sebelumnya pada komponen email-template engine yang sama. Melalui pembaruan terbaru, perbaikan dari Adobe bekerja menggantikan pemrosesan generik tersebut dengan registered placeholders guna mencegah terjadinya eksploitasi.
Panduan Penambalan untuk Administrator Server E-Commerce
Bagi para pengelola situs dan administrator server, Sansec menegaskan bahwa sekadar menjalankan instalasi Composer biasa tidaklah cukup untuk menutup risiko keamanan ini. Administrator diwajibkan untuk segera menerapkan rilis pembaruan 2026-oct atau memasang isolated patch resmi yang disediakan oleh Adobe.
Selain itu, Sansec mengingatkan bahwa penambalan untuk BlockStrap dan StyleSmuggler merupakan dua perbaikan yang terpisah. Para administrator membutuhkan keduanya secara bersamaan, sehingga hotfix bulan September (VULN-39341) harus tetap dipertahankan di dalam sistem sembari memasang patch terbaru bulan Oktober ini.
Firma keamanan e-commerce tersebut menyatakan akan terus memantau situasi dan segera memberikan informasi terbaru apabila mendeteksi dimulainya gelombang serangan massal, yang diperkirakan akan meletus dalam waktu dekat.
Sumber: Sansec
