BlockStrap in Magento und Adobe Commerce

Stand 16. Oktober 2026

BlockStrap ist eine kritische Sicherheitslücke in Magento und Adobe Commerce. Sie ermöglicht Angreifern ohne Anmeldung, Code auf dem Shopserver auszuführen. Adobe führt die Schwachstelle als CVE-2026-103849 mit einem CVSS-Wert von 10,0 von 10. Sicherheitskorrekturen wurden am 13. Oktober 2026 im Rahmen von APSB26-153 veröffentlicht.

Quelle https://www.adobe.com/trust/security/products/commerce/apsb26-153.html (abgerufen am 16. Oktober 2026).

Für Shopbetreiber ergibt sich daraus eine konkrete Aufgabe. Die technische Betreuung sollte kurzfristig nachweisen, ob die erforderlichen Korrekturen im produktiven Shop tatsächlich vorhanden sind. Die Geschäftsführung muss dafür Zuständigkeiten, ein Wartungsfenster und gegebenenfalls zusätzliche Ressourcen freigeben.

Inhaltsverzeichnis

Was die Geschäftsführung jetzt wissen muss

Frage	Einordnung
Wie ernst ist die Lücke?	Adobe bewertet sie als kritisch. Eine Ausnutzung erfordert weder eine Anmeldung noch eine Benutzerinteraktion.
Sind bereits Angriffe bekannt?	Sansec meldet bislang keine beobachteten Angriffe auf produktive Shops. Die technische Ausnutzbarkeit ist demonstriert.
Was sollte jetzt beauftragt werden?	Patchstatus prüfen, fehlende Korrekturen einspielen und das Ergebnis dokumentieren.
Reicht die Aussage „Magento ist aktuell“?	Für die Freigabe sollte ein konkreter Nachweis zum installierten Sicherheitsstand vorliegen.
Was ist zusätzlich zu beachten?	Der September-Hotfix gegen StyleSmuggler muss ebenfalls berücksichtigt werden.

Quellen https://sansec.io/research/blockstrap-magento-rce · https://www.adobe.com/trust/security/products/commerce/apsb26-153.html · https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-49323 (jeweils abgerufen am 16. Oktober 2026).

Die Angaben zur Ausnutzbarkeit und zum Beobachtungsstand stammen von Adobe und Sansec. Die vorgeschlagenen Maßnahmen sind unsere Handlungsempfehlung für Shopbetreiber. Klären Sie diese jedoch unbedingt mit Ihrer Magento Betreuung ab und validieren Sie diese selbst.

Was steckt hinter BlockStrap?

BlockStrap betrifft nach der Analyse von Sansec die Verarbeitung von E-Mail-Vorlagen. Präparierte Inhalte können bei einer erneuten Verarbeitung als Anweisungen interpretiert werden. Sansec ordnet den Mechanismus als „Second-pass directive injection“ ein.

Quelle https://sansec.io/research/blockstrap-magento-rce (abgerufen am 16. Oktober 2026).

Vereinfacht erklärt gerät dabei die Trennung zwischen eingegebenen Daten und ausführbaren Anweisungen durcheinander. Eine solche Schwachstelle heißt Template Injection. Die grundsätzliche Fehlerklasse beschreibt MITRE unter CWE-1336.

Quelle https://cwe.mitre.org/data/definitions/1336.html (abgerufen am 16. Oktober 2026).

Die mögliche Folge ist Remote Code Execution, kurz RCE. Damit ist die Ausführung von Code aus der Ferne gemeint. Der erreichbare Zugriff hängt unter anderem von den Berechtigungen des betroffenen Prozesses und der Serverkonfiguration ab.

Was ist über tatsächliche Angriffe bekannt?

Sansec veröffentlichte die BlockStrap-Analyse am 15. Oktober 2026. Laut eigener Darstellung reproduzierte das Team innerhalb von 24 Stunden vier unterschiedliche Wege zur Codeausführung. Dabei geht es um mehrere Ausnutzungswege derselben Schwachstelle.

Quelle https://sansec.io/research/blockstrap-magento-rce (abgerufen am 16. Oktober 2026).

In der am 16. Oktober geprüften Veröffentlichung meldet Sansec weiterhin keine beobachteten Angriffe auf produktive Shops. Auch Adobe nennt im Sicherheitsbulletin keine bekannte aktive Ausnutzung.

Quellen https://sansec.io/research/blockstrap-magento-rce · https://www.adobe.com/trust/security/products/commerce/apsb26-153.html (jeweils abgerufen am 16. Oktober 2026).

Für die Risikobewertung sind das zwei unterschiedliche Aussagen. Die technische Ausnutzbarkeit wurde demonstriert. Wie viele Angriffe möglicherweise unentdeckt geblieben sind, lässt sich daraus nicht ableiten.

Ein Unternehmen sollte seine Entscheidung deshalb am eigenen Sicherheitsstand und an der möglichen Schadenshöhe ausrichten. Auf eine öffentlich bestätigte Angriffswelle zu warten, verlängert die Zeit, in der ein ungepatchter Shop erreichbar bleibt.

Welche geschäftlichen Folgen wären möglich?

Die folgenden Punkte sind eine Risikoeinordnung für den Fall einer erfolgreichen Codeausführung. Sie beschreiben mögliche Folgen und keine für BlockStrap nachgewiesenen Schadensfälle.

Risikobereich	Mögliche Auswirkung auf das Unternehmen
Kunden- und Bestelldaten	Unberechtigter Zugriff auf Daten, die für den kompromittierten Prozess erreichbar sind
Shop und Bestellablauf	Manipulierte Inhalte oder Änderungen an geschäftskritischen Abläufen
Betriebsfähigkeit	Ausfallzeiten, eingeschränkter Verkauf und Aufwand für eine kontrollierte Wiederherstellung
Verbindungen zu anderen Systemen	Zusätzliche Risiken, falls erreichbare Zugangsdaten oder Schnittstellenschlüssel offengelegt werden

Für eine interne Bewertung helfen konkrete Fragen. Wie viel Umsatz hängt vom Shop ab? Welche Daten verarbeitet er? Welche ERP-, Zahlungs- oder Logistiksysteme sind angebunden? Wie schnell lässt sich ein vertrauenswürdiger Betriebszustand wiederherstellen?

Pauschale Schadenssummen wären dafür wenig hilfreich. Entscheidend sind die eigene Systemlandschaft und die tatsächlichen Zugriffsmöglichkeiten.

Welche Magento-Shops müssen überprüft werden?

Adobe nennt im Bulletin APSB26-153 folgende Produktlinien und Sicherheitsstände. Die Tabelle fasst die für dieses Briefing relevanten Angaben zusammen.

Produkt	Im Bulletin als betroffen aufgeführt	Oktober-Korrekturstand
Magento Open Source	2.4.7, 2.4.8 und 2.4.9 jeweils bis einschließlich `2026-sep`	Jeweils `2026-oct`
Magento Open Source	2.4.6 bis einschließlich `2026-sep`	Im Bulletin kein Oktober-Korrekturstand für diese Open-Source-Linie aufgeführt
Adobe Commerce	2.4.4 bis 2.4.9 jeweils bis einschließlich `2026-sep`	Jeweils `2026-oct`
Adobe Commerce B2B	1.3.3, 1.3.4, 1.4.2, 1.5.2 und 1.5.3 jeweils bis einschließlich `2026-sep`	Jeweils `2026-oct`

Quelle https://www.adobe.com/trust/security/products/commerce/apsb26-153.html (abgerufen am 16. Oktober 2026).

Besonders wichtig für Magento Open Source 2.4.6

Adobe stellt die öffentlich zugänglichen Oktober-Patches für Open-Source-Händler erst ab Version 2.4.7 bereit. Für ältere Commerce-Patches verlangt Adobe entsprechende Composer-Zugangsdaten. Die Verfügbarkeit eines Commerce-Patches bedeutet daher keine allgemeine Verfügbarkeit für Open-Source-Shops.

Quelle https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-49323 (abgerufen am 16. Oktober 2026).

Unsere Empfehlung für Open Source 2.4.6 ist, umgehend einen belastbaren Absicherungs- und Upgradeplan mit der technischen Betreuung festzulegen. Bei noch älteren Installationen müssen Betroffenheit, verfügbare Korrekturen und weitere Sicherheitslücken gesondert geprüft werden. Hier finden Sie mehr Informationen von uns zum Update von 2.4.6 auf 2.4.9.

Warum die Versionsnummer allein nicht ausreicht

Die Oktober-Korrekturen werden als Isolated Patches ausgeliefert. Das sind separate Dateien mit gezielten Codeänderungen. Adobe erläutert ausdrücklich, dass zu dieser Veröffentlichung keine entsprechenden neuen Composer-Pakete bereitgestellt werden.

Quelle https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-49323 (abgerufen am 16. Oktober 2026).

Ein gewöhnliches Composer-Update oder eine frische Installation der unveränderten Basispakete liefert deshalb keinen ausreichenden Nachweis für den Oktober-Schutz.

Adobe verlangt für monatliche Isolated Patches eine passende Ausgangsbasis. Dazu gehören der aktuelle Security-only-Patchstand der unterstützten Versionslinie und die vorherigen erforderlichen Monatskorrekturen. Die Dateien sind nicht kumulativ und müssen in der vorgesehenen Reihenfolge angewendet werden.

Quelle https://experienceleague.adobe.com/en/docs/commerce-operations/release/planning/monthly-isolated-security-patches (abgerufen am 16. Oktober 2026).

Ein Shop kann somit eine aktuelle Basisversion verwenden und trotzdem wichtige zusätzliche Korrekturen vermissen.

Für die Betriebsorganisation folgt daraus eine weitere Aufgabe. Die Patchanwendung muss Bestandteil des dokumentierten Bereitstellungsprozesses sein. Auch nach dem nächsten Deployment oder einer Wiederherstellung sollte sich der vollständige Sicherheitsstand nachweisen lassen.

Warum der September-Hotfix weiterhin wichtig ist

BlockStrap und StyleSmuggler benötigen unterschiedliche Korrekturen. Adobe weist in den aktuellen Installationshinweisen ausdrücklich darauf hin, dass der Hotfix für CVE-2026-75650 im Oktober-Patch nicht enthalten ist und separat angewendet werden muss.

Quelle https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-49323 (abgerufen am 16. Oktober 2026).

Für die Abnahme sollte die technische Betreuung deshalb beide Punkte ausdrücklich bestätigen:

Die erforderlichen Oktober-Korrekturen gegen BlockStrap sind vorhanden.
Der zusätzliche September-Hotfix gegen StyleSmuggler wurde berücksichtigt.

Wie dringend sollte ein Unternehmen handeln?

Adobe ordnet das Update der Priorität 2 zu. Nach der aktuellen Definition bedeutet das eine Anwendung innerhalb von 30 Tagen. Diese Priorisierung bewertet die Dringlichkeit der Verteilung. Der CVSS-Wert beschreibt dagegen den technischen Schweregrad der Schwachstelle.

Quelle https://www.adobe.com/trust/security/bulletins-and-advisories.html?tab=security-2 (abgerufen am 16. Oktober 2026).

Sansec hält die Adobe-Priorisierung angesichts der schnell reproduzierbaren Ausnutzungswege für zu zurückhaltend und empfiehlt die sofortige Behebung.

Quelle https://sansec.io/research/blockstrap-magento-rce (abgerufen am 16. Oktober 2026).

Unsere Empfehlung für öffentlich erreichbare, ungeschützte Shops ist, die Prüfung und Behebung als dringenden Sicherheitsvorgang zu behandeln. Ein Aufschub bis zur nächsten regulären Wartungsrunde sollte eine bewusste Entscheidung mit dokumentiertem Restrisiko sein.

Das genaue Wartungsfenster hängt vom Shop ab. Für die Freigabe zählen ein überschaubarer Testumfang, eine Wiederherstellungsmöglichkeit und ein verantwortlicher Ansprechpartner.

Welche Entscheidungen sind jetzt erforderlich?

Die folgende Reihenfolge ist eine organisatorische Empfehlung für Shopbetreiber.

Zeitpunkt	Auftrag	Erwartetes Ergebnis
Sofort	Verantwortliche Person benennen und technische Betreuung einbeziehen	Ein Ansprechpartner koordiniert Prüfung, Umsetzung und Rückmeldung
Heute	Produkt, Version, Komponenten und vorhandene Korrekturen prüfen lassen	Konkrete Aussage zu fehlenden Patches und verbleibendem Risiko
Schnellstmöglich	Getestete Behebung und Wartungsfenster freigeben	Verbindlicher Termin mit Test- und Wiederherstellungsplan
Nach dem Einspielen	Patchstatus und wesentliche Shopfunktionen kontrollieren	Dokumentierter technischer Nachweis und fachliche Abnahme
Bei Auffälligkeiten	Untersuchung eines möglichen Sicherheitsvorfalls veranlassen	Gesicherte Spuren, eingegrenzter Umfang und abgestimmte Folgemaßnahmen

Für die fachliche Abnahme empfehlen sich insbesondere eine Testbestellung, die Prüfung der Zahlungsabwicklung sowie die Kontrolle wichtiger Bestell- und Kundenmails. Bei B2B-Shops sollten geschäftskritische B2B-Abläufe einbezogen werden.

Der Umfang sollte sich an den tatsächlich geänderten Komponenten und den Besonderheiten des Shops orientieren.

Was ist bei Adobe Commerce Cloud zu beachten?

Adobe führt die Korrekturen aus APSB26-153 in Cloud Patches for Commerce 1.1.22 vom 13. Oktober 2026 auf. Für Cloud-Projekte ist deshalb zu prüfen, welche Paketversion im produktiven Deployment tatsächlich verwendet und angewendet wurde.

Quelle https://experienceleague.adobe.com/en/docs/commerce-on-cloud/user-guide/release-notes/cloud-patches (abgerufen am 16. Oktober 2026).

Adobe warnt vor möglichen Installationsfehlern, wenn dieselbe Korrektur nach einem Cloud-Patches-Update zusätzlich manuell eingespielt wird. Außerdem müssen die Patchdateien zu den jeweils installierten Komponenten passen.

Quelle https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-49323 (abgerufen am 16. Oktober 2026).

Für das Management genügt eine klare Rückmeldung der Betreuung zum gewählten Installationsweg und zum nachgewiesenen Ergebnis.

Wie lässt sich die Umsetzung nachvollziehbar bestätigen?

Adobe stellt mit dem Commerce Version Tool, kurz CVT, ein Werkzeug zur Prüfung des Patchstatus bereit. Es meldet installierte und fehlende Korrekturen sowie den Status der zugehörigen Sicherheitslücken. Ein unbekanntes Ergebnis muss technisch geklärt werden. Das Werkzeug dient der Bestandsaufnahme und spielt selbst keine Patches ein.

Quelle https://experienceleague.adobe.com/en/docs/commerce-operations/tools/commerce-version-tool/intro (abgerufen am 16. Oktober 2026).

Für die interne Freigabe sollte die technische Betreuung mindestens diese Angaben liefern:

Produktive Installation und Prüfzeitpunkt
Angewendete Korrekturen und gegebenenfalls noch offene Punkte
Ergebnis der Funktionsprüfung
Ergebnis einer Prüfung auf Auffälligkeiten und deren Umfang
Verantwortliche Person für Nacharbeiten und weitere Überwachung

Der Patchnachweis und die Untersuchung eines möglichen Einbruchs beantworten unterschiedliche Fragen. Ein eingespielter Patch belegt für sich allein keine vollständige Prüfung der Systemintegrität.

Können zusätzliche Schutzmaßnahmen Zeit verschaffen?

Sansec erklärt, dass sein Produkt Shield BlockStrap auf HTTP-Ebene blockiere und entsprechende Regeln bereitgestellt seien. Das ist eine Aussage des Anbieters.

Quelle https://sansec.io/research/blockstrap-magento-rce (abgerufen am 16. Oktober 2026).

Falls ein sofortiges Patchen nicht möglich ist, sollte die Betreuung prüfen, welche gezielten Schutzregeln für die konkrete Umgebung verfügbar und wirksam sind. Die bloße Angabe, eine Firewall sei vorhanden, reicht für die Bewertung nicht aus.

Eine vorübergehende Absicherung sollte mit einem festen Termin für die Behebung und einer dokumentierten Kontrolle verbunden werden.

Was gilt bei Verdacht auf eine Kompromittierung?

Bei verdächtigen Änderungen, unerklärlichen Zugriffen oder anderen Auffälligkeiten empfehlen wir eine gesonderte Untersuchung. Dazu gehören die Sicherung verfügbarer Protokolle, die Prüfung relevanter Dateien und Konfigurationen sowie die Bewertung erreichbarer Zugangsdaten. Die konkrete Vorgehensweise sollte die zuständige Fachperson anhand des Befunds festlegen.

Im Zusammenhang mit dem zusätzlich erforderlichen StyleSmuggler-Hotfix beschreibt Adobe auch die Rotation von Verschlüsselungsschlüsseln und zugehörigen Zugangsdaten. Bereits offengelegte Zugangsdaten werden durch einen neuen Verschlüsselungsschlüssel allein nicht ungültig. Betroffene Schlüssel müssen gegebenenfalls auch beim jeweiligen Dienstanbieter erneuert werden.

Quelle https://experienceleague.adobe.com/en/docs/commerce-knowledge-base/kb/announcements/commerce-apsb26-146 (abgerufen am 16. Oktober 2026).

Für das Management ist hier eine zusätzliche Entscheidung erforderlich. Wer koordiniert Technik, Datenschutz und gegebenenfalls externe Unterstützung? Welche Systeme müssen bis zur Klärung eingeschränkt werden? Wer entscheidet über die Wiederaufnahme des regulären Betriebs?

Welche weiteren belastbaren Quellen gibt es?

Neben Sansec liegen das Adobe-Sicherheitsbulletin, konkrete Installationshinweise und Dokumentationen zur Patchprüfung vor. Das französische CERT-FR nennt ebenfalls APSB26-153 und CVE-2026-103849. Diese behördliche Meldung verweist für die Korrekturen auf Adobe. Sie liefert keine eigene Bestätigung einer aktiven BlockStrap-Angriffswelle.

Quelle https://cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1301/ (abgerufen am 16. Oktober 2026).

Die Quellen erfüllen damit unterschiedliche Aufgaben. Sansec beschreibt den technischen Angriffspfad und die eigene Beobachtungslage. Adobe ist für betroffene Produktstände und die Installation der Herstellerkorrekturen maßgeblich.

Unterstützung bei der Prüfung Ihres Magento-Shops?

Wenn Sie den Sicherheitsstand Ihres Shops klären möchten, sollte die erste Rückmeldung drei Punkte enthalten: vorhandene Korrekturen, offene Risiken und den nächsten verbindlichen Umsetzungsschritt.

Informationen zur laufenden technischen Unterstützung finden Sie auf unserer Seite zur Magento-Betreuung.

Eine ergänzende Übersicht bietet unser Beitrag zum Oktober-Sicherheitspatch APSB26-153.