Внедрение в шаблонизатор Magento и Adobe Commerce открывает путь к удалённому выполнению кода

Платформы для интернет-магазинов Magento Open Source, Adobe Commerce и Adobe Commerce B2B содержат уязвимость, которая позволяет удалённому злоумышленнику выполнить на сервере собственный код. Ни учётной записи, ни действий со стороны пользователя не требуется. Оценка по CVSS 3.1 достигает 10 из 10, по устаревшей CVSS 2.0 - тоже 10. Проблема описана под идентификатором CVE-2026-103849 и внесена в Банк данных угроз безопасности информации (BDU) под номером BDU:2026-16742; дата выявления - 13 октября 2026 года.

CVE-2026-103849 в Magento и Adobe Commerce

Магазин на этих платформах собирает страницы через шаблонизатор - подсистему, которая подставляет в заранее подготовленные заготовки переменные и служебные конструкции. Платформа не отсеивает часть специальных элементов таких конструкций. В результате в шаблон можно передать собственную директиву, и сервер примет её за часть разметки и исполнит. Класс ошибки - CWE-1336, некорректная нейтрализация специальных элементов в механизме шаблонов.

Вектор сетевой, привилегии не нужны, участие пользователя не требуется. Границы безопасности при эксплуатации меняются: злоумышленник выходит за пределы исходного компонента и получает влияние на всю систему. Показатели конфиденциальности, целостности и доступности в векторе максимальные, то есть последствия затрагивают и данные, и работу магазина.

Под угрозой оказывается не только витрина. В типовой установке рядом с каталогом товаров работают интеграции со складом, учётом и платёжными сервисами, а в базе лежат заказы и адреса покупателей. Выполнение произвольного кода на сервере открывает доступ к этим массивам, к ключам интеграций и к административной панели. Для владельца магазина это означает и утечку персональных данных, и риск подмены цен, и возможные претензии со стороны регуляторов.

Отдельный повод для беспокойства - публичный эксплойт. Он уже доступен, вместе с ним опубликован лабораторный стенд на GitHub. Значит, порог входа для атакующего снижается: готовый инструмент избавляет от необходимости разбираться в механике шаблонизатора самостоятельно. Массовых атак на этом этапе источники не фиксируют, но открытая публикация заметно сокращает время до первых попыток.

Способ эксплуатации в бюллетене описан как манипулирование структурами данных. Проще говоря, злоумышленник подставляет в поля, которые платформа затем обрабатывает как шаблон, специально составленные значения. Точный перечень уязвимых точек Adobe раскрывает в своём бюллетене; для администратора важно, что речь идёт о штатных механизмах оформления страниц, а не о редкой экзотической настройке.

Затронуты сборки Magento Open Source и Adobe Commerce вплоть до версии 2.4.9-2026-sep включительно, а также Adobe Commerce B2B вплоть до 1.5.3-2026-sep. Более ранние ветки - 2.4.6, 2.4.7, 2.4.8 у основных продуктов и 1.3.3, 1.3.4, 1.4.2, 1.5.2 у B2B - тоже в списке. Исправленные сборки перечислены в бюллетене Adobe apsb26-153; ставить нужно версию новее указанных. Вендор подтвердил проблему и отметил, что она закрыта обновлением.

Обновиться стоит в первую очередь тем, у кого магазин открыт в интернет и принимает заказы круглосуточно. Если установка обновления требует согласований и паузы, на это время доступ к административной панели и к редактору шаблонов ограничивают по IP-адресам и убирают из публичного сегмента сети. В журналах веб-сервера и приложения ищут обращения к страницам оформления заказа и блокам CMS от незнакомых адресов, а в файлах магазина - посторонние вставки, появившиеся без участия команды. Неиспользуемые модули и темы лучше отключить совсем.

Сама по себе история не уникальна: шаблонизаторы годами остаются частым источником именно таких ошибок, где безобидная на вид подстановка превращается в выполнение кода. Магазины привлекают внимание из-за денег и персональных данных, а максимальная оценка уязвимости означает, что откладывать обновление до планового окна обслуживания рискованно.

CVE-2026-103849 в Magento и Adobe Commerce

Ссылки