Magento-lek maakt aanval op webwinkels mogelijk

Een lek in Magento Open Source en Adobe Commerce zorgt ervoor dat een hacker code kan uitvoeren op de server van een webwinkel. Dit is het tweede lek bij Magento in zes weken. Adobe heeft een beveiligingsupdate uitgebracht, maar experts vinden dat het bedrijf er niet genoeg prioriteit aan geeft.

Magento Open Source is bekende webwinkelsoftware. Omdat het open source is, kun je als retailer zelf de code aanpassen. Nu blijkt dat er in de verwerking van e-mailtemplates een lek zit, aangeduid als CVE CVE-2026-103849 of BlockStrap. Ingevoerde gegevens kunnen daarbij als code worden verwerkt. Een hacker kan op die manier eigen PHP-code uitvoeren op de server van de webwinkel. Dit betekent dat webwinkels op Magento minder goed beveiligd zijn.

Update moet binnen 30 dagen toegepast zijn

Afgelopen week publiceerde Adobe een beveiligingsupdate om dit probleem op te lossen. Het bedrijf geeft de update prioriteit 2, wat betekent dat bedrijven de oplossing binnen 30 dagen moeten toepassen. Beveiligingsbedrijf Sansec vindt dit te ruim. Bij een eerder lek in dezelfde templateverwerking, StyleSmuggler, was er al na drie dagen misbruik op grote schaal.

Bij eerder lek was er na 3 dagen al misbruik op grote schaal

Daarom moeten webwinkels, volgens Sansec, zo snel mogelijk hun beheerder laten controleren of de nieuwste beveiligingsupdate is toegepast. Webwinkels die draaien op Magento Open Source 2.4.6 of ouder worden niet meer ondersteund. Om dit beveiligingslek op te lossen moeten ze overstappen naar een ondersteunde nieuwere versie.