Een webwinkelier die afgelopen week nog snel een bestelling inpakte, had geen idee dat er op dat moment een nieuw beveiligingslek rondging dat precies zijn soort winkel kon raken. Beveiligingsonderzoekers van het Nederlandse bedrijf Sansec ontdekten een kritieke kwetsbaarheid in Magento Open Source en Adobe Commerce, de softwaresystemen waarop wereldwijd meer dan honderdduizend webshops draaien. Adobe bracht op 13 oktober een noodpatch uit, maar wie nog niet heeft bijgewerkt, loopt risico.
Wat is er precies aan de hand
De kwetsbaarheid kreeg de naam BlockStrap en staat geregistreerd als CVE-2026-103849. Het probleem zit in de manier waarop Magento en Adobe Commerce e-mailtemplates verwerken. Een aanvaller hoeft niet eens ingelogd te zijn: via deze route kan kwaadwillende code rechtstreeks op de server van een webwinkel worden uitgevoerd. Beveiligingsbedrijf Sansec kent het lek de hoogst mogelijke risicoscore toe, een 10 op de CVSS-schaal, en meldt dat onderzoekers binnen één dag vier verschillende aanvalsroutes konden reproduceren. Adobe zegt zelf nog geen misbruik bij echte webwinkels te hebben waargenomen, maar dat kan snel omslaan.
Waarom dit risico niet licht moet worden opgevat
Het is al het tweede ernstige lek in Magento binnen zes weken tijd, en dat voedt de zorgen in de branche. Wordt een server daadwerkelijk binnengedrongen, dan liggen klantgegevens en soms ook betaalgegevens op straat. Voor een webwinkelier is dat niet alleen een technisch ongemak. Een datalek raakt direct aan de verplichtingen die voortvloeien uit de AVG, zoals het tijdig melden van een lek en het zorgvuldig informeren van klanten. Op de pagina over een privacyverklaring en de AVG in de kennisbank van Webshop Keurmerk staat wat daarbij komt kijken. Wie dat nu al op orde heeft, staat sterker als er onverhoopt toch iets misgaat.
Wat een webwinkelier nu moet doen
De patch van Adobe, bekend als APSB26-153, verhelpt elf beveiligingsproblemen tegelijk, waaronder BlockStrap. Voor zelfgehoste installaties gaat dat niet vanzelf: de patch moet handmatig worden toegepast, en nieuwe installaties blijven kwetsbaar totdat dat is gebeurd. Webwinkeliers die hun webshop laten beheren door een hostingpartij of ontwikkelaar doen er verstandig aan deze week nog even na te vragen of de update al is doorgevoerd. Belangrijk is ook dat een eerder lek, CVE-2026-75650, een aparte hotfix vereist die niet automatisch wordt meegenomen met de oktoberpatch. Wie beide niet checkt, denkt ten onrechte dat de zaak rond is.
Vertrouwen blijft mensenwerk
Een goed beveiligde webshop is uiteindelijk ook een kwestie van vertrouwen winnen en behouden. Klanten merken niet of een server is gepatcht, maar ze merken wel wanneer dat misgaat. Op de pagina over vertrouwen opbouwen bij een webshop in de kennisbank wordt uitgelegd hoe zorgvuldigheid achter de schermen, van beveiliging tot heldere communicatie, bijdraagt aan een betrouwbare uitstraling naar klanten toe. Webshop Keurmerk, erkend door de Consumentenbond, helpt webwinkeliers bij precies dat soort zaken op orde te krijgen. Aanmelden kan via keurmerk.info. Voor de korte termijn geldt vooral: controleer deze week of de patch is toegepast, en wacht daar niet te lang mee.
Recente reacties