Weer kritiek lek in Magento: webwinkels moeten nu updaten

Een fout met de hoogste risicoscore

Wie een webwinkel draait op Magento of Adobe Commerce, deed er deze maand goed aan extra alert te zijn. Beveiligingsbedrijf Sansec ontdekte een kwetsbaarheid in de manier waarop het platform e-mailsjablonen verwerkt en gaf de fout de naam BlockStrap. Volgens de onderzoekers krijgt het lek, geregistreerd als CVE-2026-103849, de maximale risicoscore die er bestaat. Een aanvaller die er misbruik van maakt, kan bij klant- en betaalgegevens komen, de inhoud van de winkel aanpassen of de site zelfs volledig platleggen. Voor een webwinkelier is dat precies het soort nieuws waar je niet op zit te wachten, zeker niet in aanloop naar de drukke decembermaanden, wanneer een webwinkel juist geen moment buiten bedrijf mag zijn.

Adobe bracht medio oktober een update uit

Adobe, de eigenaar van Magento en Adobe Commerce, publiceerde op 13 oktober een beveiligingsupdate onder de naam APSB26-153. Webwinkeliers die hun platform automatisch via Composer bijwerken, zijn daarmee niet vanzelf beschermd: de patch moet apart worden geïnstalleerd. Sansec meldt dat het eigen beveiligingsproduct al sinds 14 oktober pogingen blokkeert om het lek te misbruiken. Bevestigde aanvallen op echte winkels zijn er volgens het bedrijf nog niet bekend, al slaagden de onderzoekers er zelf wel in om binnen één dag vier manieren te bedenken waarop het lek te misbruiken valt. Daarom houden ze er serieus rekening mee dat kwaadwillenden snel zullen volgen.

Niet elke webwinkel krijgt de reparatie gratis

Opvallend detail in dit verhaal: wie nog op Magento Open Source 2.4.6 draait, krijgt geen gratis patch. De gerepareerde versies tussen 2.4.4 en 2.4.6 zijn alleen beschikbaar voor webwinkels met een betaalde Adobe Commerce licentie. Wie die licentie niet heeft, moet dus upgraden naar minimaal versie 2.4.7 om de kwetsbaarheid te verhelpen. Voor kleinere webwinkeliers die hun shop al jaren op een oudere versie laten draaien, kan dat een flinke technische klus worden, en vaak ook een kostenpost waar vooraf niet op gerekend was.

Tweede ernstige fout in zes weken tijd

Het BlockStrap-lek staat niet op zichzelf. Zes weken eerder meldden onderzoekers al een andere kritieke fout in dezelfde sjabloonverwerking, bekend als CVE-2026-75650, die toen al actief werd misbruikt. Adobe raadt webwinkels aan om de oktoberupdate samen met die eerdere hotfix te installeren. Voor ondernemers die hun webwinkel laten beheren door een bureau of hostingpartij is de boodschap simpel: vraag gewoon na of de patches al zijn toegepast, het kost een telefoontje of een mailtje. Wie de techniek zelf beheert, doet er verstandig aan dit niet op de lange baan te schuiven. Een webwinkel die platligt of waar klantgegevens uitlekken, kost uiteindelijk veel meer tijd, geld en vertrouwen dan het doorvoeren van een update die nu al klaarstaat. Een paar minuten controle bij de hostingpartij of het webbureau kan dus veel ellende schelen.