Magento와 Adobe Commerce의 심각도 최고 수준 취약점 CVE-2026-103849을 악용하면 공격자가 상점 서버에서 임의의 PHP 코드를 실행할 수 있다. Sansec은 아직 이 취약점을 이용한 공격을 확인하지 못했지만, 공격이 곧 나타날 수 있다고 경고했다.

취약점은 Adobe Commerce와 Magento Open Source의 9월 버전부터 2.4.9까지, Adobe Commerce B2B 1.5.3까지 영향을 미친다. Sansec은 24시간도 안 돼 이 취약점과 관련된 잠재적 공격 경로 네 가지를 찾아냈다고 밝혔다.

Adobe는 10월 13일 게시한 보안 공지에서 템플릿 엔진이 특수 요소를 잘못 처리해 임의 코드 실행으로 이어지는 취약점이라고 설명했다. Sansec의 분석에 따르면 BlockStrap은 하위 이메일 템플릿의 공격자 제어 콘텐츠를 서명해 루트 수준에서 다시 처리하게 만들고, 이 과정에서 삽입된 {{block}} 지시문을 실행하는 2차 템플릿 엔진 지시문 삽입 취약점이다.

Sansec은 BlockStrap이 같은 이메일 템플릿 엔진에서 StyleSmuggler 수정 후에도 남은 취약점을 드러낸다고 설명했다. Adobe의 수정 사항은 일반 처리를 등록된 플레이스홀더로 대체해 악용을 막는다.

Adobe는 이 취약점에 ‘우선순위 2’를 부여해 30일 안에 패치하도록 했지만, Sansec은 공격 경로가 복잡하더라도 AI 에이전트를 이용하면 패치를 분석해 작동하는 공격 코드를 비교적 짧은 시간 안에 만들 수 있다고 지적했다. Sansec은 과거 StyleSmuggler가 우선순위 1 긴급 수정에서 대규모 공격으로 이어지는 데 사흘이 걸렸고, BlockStrap도 비슷한 복잡성을 지녔다고 밝혔다. 자세한 분석은 Sansec의 보고서에서 확인할 수 있다.

Sansec은 Composer를 통한 일반적인 설치만으로는 위험을 해결할 수 없다며, 사이트 관리자가 2026-oct 릴리스 또는 Adobe의 개별 패치를 적용해야 한다고 안내했다. BlockStrap과 StyleSmuggler는 서로 별개의 수정 사항이므로, 9월의 VULN-39341 긴급 수정도 유지해야 한다고 덧붙였다. Sansec은 대규모 공격이 곧 발생할 것으로 예상하며, 실제 공격 물결을 탐지하면 추가로 알리겠다고 밝혔다.