BlockStrap: fallo de gravedad máxima en Magento y Adobe Commerce con parche manual

Qué ha pasado

El 15 de octubre, la firma Sansec, especializada en seguridad de tiendas online, publicó su análisis de BlockStrap (CVE-2026-103849), un fallo en Magento Open Source y Adobe Commerce con la puntuación máxima de gravedad, 10 sobre 10. Permite a un atacante, sin necesidad de usuario ni contraseña, ejecutar código PHP en el servidor de la tienda.

Afecta a Adobe Commerce y Magento Open Source hasta la versión 2.4.9, a Adobe Commerce B2B hasta la 1.5.3 y a Mage-OS hasta la 3.5.0 (la 3.6.0 ya lo corrige). El problema está en el motor de plantillas de los correos: un dato manipulado por el atacante se vuelve a interpretar y acaba ejecutando instrucciones que no debería.

Adobe publicó el arreglo el 13 de octubre en el boletín APSB26-153, con prioridad 2, que en su escala equivale a un plazo de 30 días. Sansec advierte de dos trampas: una instalación normal con Composer sigue con la versión vulnerable si no se aplica la publicación de octubre o el parche aislado de Adobe, y este arreglo no sustituye al de StyleSmuggler (CVE-2026-75650, hotfix VULN-39341) de septiembre, que debe seguir instalado. A día 15 no se habían visto ataques contra tiendas reales, pero los investigadores de Sansec reprodujeron cuatro formas de explotarlo en menos de 24 horas.

Por qué le importa a tu empresa

Si vendes online con Magento, quien ejecuta código en tu servidor puede colocar un skimmer en la página de pago para copiar las tarjetas de tus clientes, llevarse la base de datos o dejar una puerta trasera. Eso es una brecha de datos personales con obligación de notificar, un problema con tu pasarela de pago y un golpe serio a la confianza.

Y aunque Magento lo usan menos pymes españolas que WooCommerce o PrestaShop, muchas tiendas medianas y B2B siguen en él, a menudo mantenidas por una agencia que actualiza cuando puede.

Mi opinión

Lo que más me preocupa no es la nota 10, sino la letra pequeña. Un parche que no llega con la actualización habitual es justo el tipo de arreglo que se queda sin aplicar durante meses. Y la prioridad 2 de Adobe invita a pensar que hay un mes por delante, cuando Sansec tardó un día en tener cuatro formas de explotarlo. Yo no esperaría a ver ataques para actuar.

Tampoco hace falta dramatizar: si la tienda está bien mantenida, es una tarea de una mañana. El problema está en las que nadie mira. Si no sabes con certeza quién parchea tu Magento y cuándo lo hizo por última vez, ese es el primer punto a resolver. En XEVIA es una de las comprobaciones que hacemos en cualquier revisión de tienda.

Qué hacer hoy

• Pregunta a tu agencia o proveedor si la tienda tiene aplicado APSB26-153 o el parche aislado de Adobe, y pide que te lo confirmen por escrito.
• Verifica que el hotfix VULN-39341 de septiembre (StyleSmuggler) sigue instalado: los dos arreglos son necesarios.
• Si usas Mage-OS, actualiza a la versión 3.6.0.
• Si no puedes parchear en horas, protege la tienda con un cortafuegos de aplicación web que bloquee este ataque mientras tanto.
• Revisa la página de pago y los ficheros del servidor en busca de scripts o archivos que no reconozcas.