Qu’est-ce que BlockStrap et quels systèmes sont touchés ?

BlockStrap, identifiée sous le numéro CVE-2026-103849, est une vulnérabilité critique affectant les plateformes Magento Open Source (jusqu’à la version 2.4.9) et Adobe Commerce, incluant la version B2B (jusqu’à 1.5.3). Selon BleepingComputer, cette faille permet une exécution de code PHP arbitraire via une injection dans le moteur de template d’e-mails. Adobe qualifie cette faille de neutralisation insuffisante d’éléments spéciaux dans le moteur de template (CVSS 10.0), mais la classe comme priorité 2, avec un délai de correction de 30 jours, malgré les avertissements urgents de Sansec.

La vulnérabilité exploite une faiblesse similaire à celle de StyleSmuggler (CVE-2026-75650), une faille déjà corrigée en septembre 2026 et exploitée massivement en trois jours après sa divulgation. Sansec souligne que BlockStrap et StyleSmuggler sont des correctifs distincts : les administrateurs doivent appliquer les deux patches, y compris le hotfix VULN-39341 de septembre, en plus du correctif d’octobre pour BlockStrap.

La complexité de BlockStrap pourrait être contournée rapidement par des outils d’intelligence artificielle, permettant à des acteurs malveillants de générer des exploits fonctionnels en un temps record.

Pourquoi le correctif Adobe ne suffit-il pas et quelles actions sont nécessaires ?

Adobe a publié un correctif isolé pour BlockStrap le 13 octobre 2026 via le bulletin APSB26-153, mais ce patch ne couvre pas StyleSmuggler. EveryHost précise que les mises à jour via Composer ne suffisent pas : les administrateurs doivent appliquer manuellement le fichier de patch isolé d’octobre ou la release complète d’Adobe d’octobre 2026, tout en conservant le hotfix de septembre. De plus, le patch d’octobre crée un fichier de verrouillage vide dans le répertoire racine de Magento en raison d’un bug de parcours de chemin, selon Sansec.

Pour vérifier l’application du correctif, Sansec recommande de contrôler la présence de la fonction resolveDeferredDirectives dans le code. Son absence (valeur 0) indique que le patch BlockStrap n’a pas été appliqué. Les versions Magento Open Source 2.4.6 et Adobe Commerce 2.4.4 à 2.4.9 sont particulièrement exposées, certaines sans correctif disponible.

Quels risques encourent les entreprises utilisant Magento ou Adobe Commerce en Afrique de l’Ouest ?

Bien qu’aucune exploitation de BlockStrap n’ait été observée à ce jour (16 octobre 2026), Daily.dev et BleepingComputer soulignent que Sansec a reproduit quatre chemins d’attaque distincts en moins de 24 heures, suggérant que les acteurs malveillants pourraient suivre. La complexité de BlockStrap, comparable à celle de StyleSmuggler, pourrait être contournée rapidement par des outils d’intelligence artificielle, selon Sansec : « The attack path is complex, but anyone with an AI agent can reverse-engineer the patch into working exploits in a relatively short time. »

Pour les entreprises béninoises ou ouest-africaines utilisant Magento ou Adobe Commerce pour leurs plateformes e-commerce, cette vulnérabilité représente un risque majeur d’intrusion non authentifiée et de prise de contrôle des serveurs. Contrairement à StyleSmuggler, qui nécessitait des identifiants valides (avec seulement 37 % des actions bloquées), BlockStrap pourrait permettre une exécution de code sans authentification, selon Sansec. Les conséquences pourraient inclure des fuites de données clients, des perturbations des activités commerciales ou des détournements de transactions.

Ce que cela change ici : implications pour les administrations et entreprises du Bénin et d’Afrique de l’Ouest

Les administrations et entreprises du Bénin et d’Afrique de l’Ouest utilisant Magento ou Adobe Commerce pour leurs plateformes e-commerce, sites gouvernementaux ou systèmes de paiement en ligne devraient prioriser l’application immédiate des correctifs. Contrairement à la recommandation d’Adobe (priorité 2, délai de 30 jours), les experts locaux devraient considérer cette faille comme une urgence absolue, au vu des antécédents d’exploitation massive de StyleSmuggler et de la facilité relative à reproduire les attaques.

Les organisations pourraient renforcer leurs audits de sécurité pour vérifier l’application des deux patches (BlockStrap et StyleSmuggler) et isoler temporairement les environnements critiques jusqu’à correction complète. Les prestataires de services informatiques au Bénin, souvent sous-traitants pour des projets gouvernementaux ou bancaires, devraient former leurs équipes aux procédures de déploiement des correctifs isolés, car une mise à jour Composer classique ne suffit pas. Enfin, les entreprises pourraient évaluer une migration vers des alternatives sécurisées si leurs systèmes restent vulnérables après correction, notamment pour les plateformes gérant des données sensibles comme les transactions financières ou les identifiants administratifs.