חולשה קריטית חדשה במערכות Magento ו־Adobe Commerce דורשת פעולה יזומה מצד מנהלי חנויות וצוותי IT. חוקרי Sansec פרסמו ב־15 באוקטובר 2026 פרטים על BlockStrap, חולשה שקיבלה את המזהה CVE-2026-103849 וציון CVSS מרבי של 10.0. לפי המחקר, ניצול מוצלח עלול לאפשר לתוקף שאינו מחובר למערכת להריץ קוד PHP בשרת.
Adobe פרסמה ב־13 באוקטובר את עדכון האבטחה APSB26-153. עם זאת, Sansec מדגישה כי נדרש להחיל את התיקון באופן ידני, ושגם התקנות חדשות עלולות להישאר חשופות אם לא הותקן התיקון הייעודי. ב־BleepingComputer דווח כי מדובר בפגיעות בעלת חומרה מרבית, אך נכון למועד פרסום המחקר Sansec לא זיהתה ניצול פעיל שלה בשטח.
אילו גרסאות דורשות בדיקה?
לפי Sansec, רשימת המוצרים המושפעים כוללת את Adobe Commerce עד גרסה 2.4.9, Adobe Commerce B2B עד גרסה 1.5.3 ו־Magento Open Source עד גרסה 2.4.9. חשוב להדגיש: עצם השימוש במספר גרסה מסוים אינו תחליף לבדיקה אם תיקון APSB26-153 הוחל בפועל.
החוקרים דיווחו כי שחזרו ארבעה נתיבי תקיפה בתוך 24 שעות. המשמעות המעשית היא שצוותים לא צריכים להסתפק בהמתנה לעדכון אוטומטי או בהנחה שחומת יישומים לבדה תספיק.
מה מנהלי מערכות צריכים לעשות עכשיו?
- למפות את הנכסים: לאתר את כל שרתי Magento, Adobe Commerce ורכיבי B2B, כולל סביבות בדיקה ושכפולים ישנים.
- לאמת גרסה ותיקון: לבדוק מול הנחיות Adobe אם APSB26-153 הותקן במלואו. התקנה חדשה אינה הוכחה לכך שהמערכת מוגנת.
- לבדוק סימנים חריגים: לעבור על יומני שרת, שינויים בלתי מוסברים בקבצים, חשבונות ניהול חדשים ותהליכי PHP לא מוכרים.
- לשמור גיבוי נקי: לוודא שקיים גיבוי עדכני, מבודד ונבדק לשחזור לפני שינויי חירום.
- להקשיח את המעטפת: לצמצם גישת ניהול, לעדכן רכיבים משלימים ולבחון כללי WAF. אלה שכבות הגנה משלימות — לא תחליף לתיקון.
בארגונים שבהם החנות היא מערכת קריטית, מומלץ לתעד את תהליך הבדיקה ואת תוצאתו. כפי שמדגיש אריאל מרום בכתבות אבטחה ומערכות, רשימת נכסים מעודכנת וחלון תחזוקה מתוכנן הם לעיתים ההבדל בין תיקון מסודר לבין אירוע חירום.
למה BlockStrap מסוכנת במיוחד?
פלטפורמת מסחר מחוברת למאגרי לקוחות, תשלומים, מלאי ושירותים חיצוניים. הרצת קוד בשרת עלולה לאפשר שינוי קבצים, גניבת סודות יישום או יצירת דלת אחורית. אין בכך הבטחה שכל מערכת חשופה כבר נפרצה, אך חומרת התרחיש מצדיקה קדימות גבוהה לתיקון ולבדיקה.
להקשר נוסף על טיפול בחולשות קריטיות, ראו גם את הסקירה על חולשת BeyondTrust.
מקורות: מחקר Sansec על BlockStrap; דיווח BleepingComputer.
תמונת המחשה: נוצרה באמצעות AI עבור ITPortal.
