BlockStrap: het tweede kritieke Magento-lek in zes weken

Op 13 oktober 2026 bracht Adobe het beveiligingsbulletin APSB26-153 uit voor Magento Open Source en Adobe Commerce. Het bevat elf lekken, waarvan vijf kritiek. Het zwaarste daarvan, CVE-2026-103849, kreeg van Sansec de naam BlockStrap. Net als StyleSmuggler in september krijgt het de maximale CVSS-score van 10.0.

Anders dan bij StyleSmuggler zijn er nog geen aanvallen op webshops gezien. Toch is er reden om snel te zijn. Sansec had binnen 24 uur vier manieren gevonden om het lek te misbruiken, en aanvallers zullen daar niet veel langer over doen.

Wat is er aan de hand?

BlockStrap zit in hetzelfde onderdeel als StyleSmuggler: de template-engine waarmee Magento e-mails opbouwt. Via het lek kan een aanvaller zonder in te loggen eigen code uitvoeren op de server van je webshop.

Het lek is eigenlijk een omweg langs de StyleSmuggler-fix van september. Die hotfix (VULN-39341) zorgt ervoor dat Magento alleen nog vertrouwde template-instructies uitvoert. Gegevens die een aanvaller zelf aanlevert, kunnen in een onderliggend template echter alsnog als vertrouwd worden gemarkeerd. Als Magento het hoofdtemplate daarna nog een keer doorloopt, voert het een binnengesmokkelde {{block}}-instructie gewoon uit. De oktoberpatch van Adobe haalt die tweede ronde er helemaal uit.

Wie code kan uitvoeren op je server, kan bij je klantgegevens, je bestellingen en in het ergste geval je betaalpagina. Daarom is dit lek net zo ernstig als StyleSmuggler, ook al wordt het nog niet misbruikt.

Welke shops zijn kwetsbaar?

Volgens het bulletin van Adobe:

Product	Kwetsbaar	Gerepareerd in
Magento Open Source	2.4.6 tot en met 2.4.9 (september 2026 en ouder)	2.4.7-p10, 2.4.8-p5 en 2.4.9 van oktober 2026
Adobe Commerce	2.4.4 tot en met 2.4.9 (september 2026 en ouder)	de oktoberreleases van 2.4.4 tot en met 2.4.9
Adobe Commerce B2B	1.3.3 tot en met 1.5.3	de oktoberreleases van dezelfde reeksen
Mage-OS	tot en met 3.5.0	3.6.0 (14 oktober)

Draai je Magento Open Source 2.4.6 of ouder, dan is er geen gratis patch. De gerepareerde versies van 2.4.4 tot en met 2.4.6 zijn alleen beschikbaar met een Adobe Commerce-licentie. Voor Open Source betekent dit dat je moet upgraden naar minimaal 2.4.7.

Ook belangrijk: een gewone composer update is niet genoeg. Volgens Sansec haal je daarmee nog steeds de kwetsbare basisversie binnen. Je hebt de oktoberrelease of de losse patch van Adobe nodig.

De tijdlijn

Datum	Wat er gebeurde
7 september 2026	Adobe brengt de StyleSmuggler-hotfix uit (VULN-39341)
13 oktober 2026	Adobe publiceert APSB26-153 met de fix voor BlockStrap
14 oktober 2026	Sansec reproduceert vier aanvalsroutes en Mage-OS 3.6.0 verschijnt
15 oktober 2026	Sansec publiceert de technische analyse

Waarom je niet 30 dagen moet wachten

Adobe geeft het bulletin prioriteit 2. Officieel betekent dat: installeren binnen 30 dagen. Dat advies zouden we niet volgen.

Zodra een patch openbaar is, kunnen aanvallers precies zien wat er is veranderd en daaruit afleiden waar het lek zat. Sansec had daar een dag voor nodig. Bij StyleSmuggler zaten er maar een paar dagen tussen de eerste aanvallen en de eerste gehackte shops. Wie nu een maand wacht, gaat ervan uit dat aanvallers trager zijn dan een securitybedrijf.

Wat moet je doen?

1. Installeer de oktoberpatch

Werk bij naar de oktoberrelease van jouw Magento-versie, of pas de losse beveiligingspatch van Adobe toe. Op Mage-OS werk je het pakket mage-os/product-community-edition bij naar 3.6.0.

Draai je 2.4.8-p5? Adobe heeft op 14 oktober een gecorrigeerd patchbestand uitgebracht. Daarnaast is er een aparte vervolgpatch voor CVE-2026-91013, een tweede kritiek lek uit hetzelfde bulletin. Controleer of je beide hebt.

2. Laat de StyleSmuggler-hotfix staan

De oktoberpatch vervangt VULN-39341 niet. Het zijn twee losse fixes en je hebt ze allebei nodig. Adobe zegt dat ook letterlijk in het bulletin. Met de Quality Patches Tool (vendor/bin/magento-patches -n status) kan je developer zien of VULN-39341 nog als Applied staat.

3. Controleer of de fix er echt op staat

Patchtools slaan soms ongemerkt een deel van een patch over. Sansec raadt daarom aan de code zelf te controleren:

grep -c resolveDeferredDirectives vendor/magento/framework/Filter/Template.php

Geeft dit 0, dan ontbreekt de fix voor BlockStrap. Op Mage-OS staat het bestand onder vendor/mage-os/framework/.

Na de patch staat er in de hoofdmap van je Magento-installatie een leeg bestand met een lange naam van cijfers en letters. Dat is geen backdoor, maar een lockbestand dat de patch zelf aanmaakt. Je mag het verwijderen of in .gitignore zetten.

4. Kun je niet direct patchen? Zet een WAF in

Wil je eerst testen op een acceptatieomgeving en lukt patchen daardoor niet binnen een paar uur, zorg dan dat een webapplicatiefirewall de aanval tegenhoudt. Sansec Shield blokkeert BlockStrap al sinds 14 oktober. Een WAF vervangt de patch niet, maar geeft je wel de tijd om het netjes te doen.

5. Kijk ook even terug naar september

Was je shop in september kwetsbaar voor StyleSmuggler en heb je toen alleen gepatcht? Laat dan alsnog controleren op sporen van een inbraak en vervang je encryptiesleutel en wachtwoorden. Een scanner als eComscan controleert zowel op ontbrekende patches als op achtergelaten backdoors.

Twee keer in zes weken

Twee kritieke lekken in hetzelfde onderdeel van Magento, kort na elkaar. Eens per kwartaal bijwerken is dan niet genoeg. De shops die hier zonder schade doorheen komen, draaien een ondersteunde Magento-versie zodat er überhaupt een patch komt. Ze hebben een acceptatieomgeving om die patch dezelfde dag te testen. En er is iemand die de meldingen van Adobe en securitybedrijven actief volgt.

Wil je weten of jouw webshop de oktoberpatch al heeft, of wil je dat we hem voor je installeren? Neem contact met ons op. We kijken graag even mee.

Voor dit artikel gebruikten we de analyse van Sansec en het beveiligingsbulletin APSB26-153 van Adobe.