Blockstrap (CVE-2026-103849): waarom je Magento-webshop de update nodig heeft

Draait je webshop op Magento of Adobe Commerce? En heb je in september de StyleSmuggler-hotfix geïnstalleerd? Dan ben je nog niet beschermd tegen Blockstrap, een nieuw lek met de maximale ernstscore van 10.0.

Adobe dicht het lek in de beveiligingsupdate van 13 oktober 2026. Securitybedrijf Sansec publiceerde op 15 oktober een analyse. We zetten op een rij wat er speelt, wie risico loopt en wat je nu moet doen.

Wat is er aan de hand?

1. Een lek in het templatesysteem
Magento bouwt onder andere e-mails en pagina's op met templates. Via Blockstrap kan een aanvaller eigen code in dat templatesysteem smokkelen. Magento voert die code vervolgens zelf uit.

De aanvaller hoeft daarvoor niet in te loggen. Er is geen account nodig, geen beheerderstoegang en geen handeling van een gebruiker. Wie zo code op je server uitvoert, heeft toegang tot klantgegevens, betaalpagina's en de rest van je stack.

2. Een omweg langs de StyleSmuggler-hotfix
Blockstrap is geen nieuw probleem, maar een vervolg op een bekend probleem. Begin september ontdekte Sansec StyleSmuggler (CVE-2026-75650). Dat lek werd al misbruikt voordat er een patch bestond. Aanvallers lieten Magento hun code uitvoeren via een standaard e-mail over een mislukte betaling.

Adobe bracht op 7 september een hotfix uit. Blockstrap omzeilt die hotfix. Heb je in september alleen de StyleSmuggler-fix toegepast? Dan is je webshop nog steeds kwetsbaar.

Loopt jouw webshop risico?

Vrijwel elke actuele Magento- of Adobe Commerce-webshop zonder de update van oktober is kwetsbaar. Adobe noemt in beveiligingsbulletin APSB26-153 deze versies:

Twee dingen vallen op. Een verse installatie is niet automatisch veilig, want de oplossing moet handmatig worden toegepast. En Magento Open Source 2.4.6 staat niet in de lijst met bijgewerkte versies. Draai je nog op 2.4.6, dan is dit hét moment om een Magento 2-upgrade te plannen.

Volgens Adobe en Sansec was er bij publicatie nog geen bekend misbruik. Dat is geen reden om te wachten. StyleSmuggler werd al aangevallen voordat er een patch was, en eerdere Magento-lekken werden binnen enkele dagen op grote schaal misbruikt.

Wat moet je nu doen?

1. Breng al je omgevingen in kaart
Noteer per webshop de exacte versie inclusief build, bijvoorbeeld 2.4.8-2026-sep. Vergeet staging-, test- en demo-omgevingen niet. Ook die draaien vaak publiek bereikbaar.

2. Installeer de update van oktober
Update naar de 2026-oct-build van jouw versie. Test eerst op staging en plan de livegang daarna zo snel mogelijk.

3. Controleer of de update écht actief is
Een gedownloade patch die niet goed is uitgerold, beschermt je niet. Laat na de livegang bevestigen dat de fix draait.

4. Overweeg een extra beschermingslaag
Een web application firewall of een dienst als Sansec Shield blokkeert bekende aanvallen. Zo overbrug je de tijd tot de patch live staat.

5. Laat je webshop scannen
Tegelijk geldt: een patch dicht het lek, maar ruimt niets op. Was je webshop in september of oktober kwetsbaar, laat dan controleren of er geen malware of backdoor is achtergebleven. Een gepatchte webshop is niet automatisch een schone webshop.

Waarom dit verder gaat dan één patch

Twee kritieke lekken in zes weken. Allebei in hetzelfde templatesysteem, allebei zonder login te misbruiken. Beveiliging is dus geen losse update, maar een vast onderdeel van je webshop. Wie dat serieus neemt, plant geen patch als er brand is, maar richt onderhoud en monitoring structureel in.

Inventariseer. Patch. Controleer. Pas daarna is je webshop écht weer veilig.

Wil je weten of jouw Magento-webshop veilig is? We brengen in kaart welke versie je draait, welke updates nog ontbreken en hoe je de livegang zonder risico plant.

Bronnen

• Sansec: Blockstrap, Magento and Adobe Commerce RCE
• Sansec: StyleSmuggler, Magento and Adobe Commerce 0-day RCE
• CyCognito: Emerging Threat CVE-2026-103849
• Meetanshi: Adobe Commerce Security Update APSB26-153