AiSiri网10月19日消息，Adobe旗下电商建站平台Magento和Adobe Commerce近日被爆出CVSS 10.0满分漏洞，代号BlockStrap（CVE-2026-103849）。远程攻击者无需任何身份验证，也不需要管理员配合，就能在网店服务器上执行任意代码并全面接管主机。
有意思的是，Adobe自己只把这个补丁列为了第2级优先，还建议商户在30天内完成更新。安全行业对此强烈质疑：满分漏洞，为什么还能这么淡定？
漏洞由安全研究员vozec发现，根源出在Magento的邮件模板引擎架构缺陷上。Adobe官方安全公告APSB26-153发布还不到24小时，Sansec研究团队就已经成功复现了4条不同的远程代码执行（RCE）路径。更扎心的是，这已经是Magento邮件模板引擎在6周内爆出的第二个满分漏洞——上一个CVE-2026-756509月初刚遭遇大规模零日攻击，Adobe是紧急打了热修复才勉强收场。
Sansec分析指出，虽然这条攻击链路径相对复杂，但在现代自动化和AI辅助逆向工具普及的当下，把官方补丁反向解析成可用的攻击脚本，门槛已经大幅降低。换句话说，黑客拿到补丁后，写好利用工具可能只需要几个小时。
针对Adobe给出的30天宽限期评级，Sansec批评这种风险评估过于乐观，强烈呼吁所有电商“立刻召回团队，今天就着手修补”。毕竟这个漏洞能让攻击者直接在服务器上植入后门，甚至窃取消费者的信用卡交易数据，拖一天都是在给黑客留机会。
Sansec的技术解析还显示，本次BlockStrap本质上是对9月防护机制的绕过。Adobe此前的防御逻辑是给可信模板指令加数字签名供验证，但攻击者发现，只要把恶意指令包在子模板里，这条数据照样会被系统连带签名，随后在上一层处理时被触发执行——整套防御架构直接形同虚设。
Sansec特别提醒商户：别信Adobe所谓“第2级优先”和“30天内修补”的建议。9月的StyleSmuggler热修复和10月的BlockStrap更新彼此独立，商户必须确保两个安全更新都已部署，只打一个无法覆盖全部威胁，而且必须立刻处理，绝不能拖。
