Adobe publicó el 13 de octubre de 2026 un parche para Magento Open Source y Adobe Commerce que corrige 11 fallos. El más grave, llamado BlockStrap, tiene una nota de 10 sobre 10 y permite ejecutar código en el servidor sin iniciar sesión. Afecta a las tiendas de las ramas 2.4.4 a 2.4.9 que no tengan la versión de octubre.
Lo que se sabe
- El boletín: según Adobe, el APSB26-153 del 13 de octubre corrige 11 vulnerabilidades críticas, altas y medias. Adobe le da prioridad 2, que en su escala significa parchear en los próximos 30 días.
- El fallo principal: CVE-2026-103849, según Adobe, es una inyección en el motor de plantillas que permite ejecutar código. Es crítico, tiene una puntuación CVSS de 10.0 y no exige estar autenticado. Adobe lo atribuye al investigador vozec.
- Otro fallo grave: CVE-2026-92909, según el mismo boletín, afecta a Adobe Commerce B2B, también permite ejecutar código sin autenticación y tiene un 9.8.
- Versiones afectadas, según Adobe: Adobe Commerce de la 2.4.4 a la 2.4.9, Adobe Commerce B2B de la 1.3.3 a la 1.5.3 y Magento Open Source de la 2.4.6 a la 2.4.9, en todas sus versiones de septiembre de 2026 o anteriores.
- Versiones corregidas: Adobe las llama «2026-oct». En Magento Open Source hay parche para la 2.4.7, la 2.4.8 y la 2.4.9. Sansec, la empresa de seguridad que bautizó el fallo, las identifica como 2.4.7-p10, 2.4.8-p5 y 2.4.9.
- Ataques: Adobe dice no tener constancia de ataques. Sansec escribió el 15 de octubre que tampoco los ha visto, pero que reprodujo cuatro vías de ataque en 24 horas y espera que los atacantes lo consigan pronto.
- El parche de septiembre sigue haciendo falta: Adobe pide aplicar también el hotfix de CVE-2026-75650 de su boletín APSB26-146 (7 de septiembre). Según Sansec, el hotfix de septiembre para el fallo StyleSmuggler (VULN-39341) no está incluido en el de octubre: hacen falta los dos.
Qué cambia y qué no
Cambia la versión mínima segura: cualquier tienda en una versión de septiembre o anterior está expuesta hasta instalar la de octubre.
No cambia la prioridad oficial: Adobe mantiene la 2. Sansec la discute, porque un fallo parecido de septiembre pasó en tres días de parche a ataques masivos, según su propio recuento.
Ojo con dos casos. Según Sansec, una instalación nueva hecha con Composer parte de la versión base vulnerable, así que también hay que aplicarle el parche. Y Magento Open Source 2.4.6 o anterior no tiene parche público: esas tiendas tienen que subir al menos a la 2.4.7.
Cómo saber si te afecta
- Mira tu versión. En el panel de administración de Magento aparece al pie de la página. En el servidor, `bin/magento --version` la muestra.
- 2.4.7, 2.4.8 o 2.4.9: instala la versión «2026-oct» de tu rama siguiendo las notas de Adobe, y comprueba que el hotfix de septiembre sigue aplicado.
- 2.4.6 o anterior en Open Source: no hay parche público. Planea la subida a la 2.4.7 o superior y, mientras tanto, pide a quien mantiene la tienda una protección temporal en el cortafuegos de aplicaciones.
- Adobe Commerce con licencia: las ramas 2.4.4 a 2.4.6 sí tienen versión «2026-oct».
- Mage-OS: según Sansec, está afectado hasta la 3.5.0; la 3.6.0, del 14 de octubre, trae la corrección.
- Si no gestionas tú el servidor, pregunta a tu desarrollador o a tu hosting tres cosas: qué versión tienes, si ya está la de octubre y si el hotfix de septiembre sigue puesto.
- Después de parchear, revisa que el carrito, el pago y los correos de pedido funcionan.
Relacionado: Drupal corrige un fallo crítico: pasa a 11.4.10 o 10.6.19
Fuentes
- Adobe, boletín de seguridad APSB26-153, 13 de octubre de 2026 (en inglés)
- Sansec, «BlockStrap: Magento and Adobe Commerce RCE (CVE-2026-103849)», 15 de octubre de 2026 (en inglés)
- BleepingComputer, 16 de octubre de 2026 (en inglés)
Actualizaciones: si aparecen ataques con este fallo o Adobe cambia la prioridad, se añadirá aquí con su enlace.