Zero-day Magento StyleSmuggler : une faille CVSS 10 sans authentification exploitée

Rédaction YuSMP Group Équipe éditoriale, YuSMP Group

En bref

Qu'est-ce que StyleSmuggler ?

Sansec, société de sécurité spécialisée dans Magento, a divulgué la CVE-2026-75650 après l'avoir repérée dans des attaques réelles. Il s'agit d'une faille d'injection de code dans le moteur de templates de Magento : l'attaquant envoie une entrée forgée que la plateforme évalue comme du PHP lors du traitement des templates, ce qui lui donne l'exécution de code arbitraire sur le serveur web. Le chemin d'attaque observé par Sansec passe par la fonction « Payment Transaction Failed Reminder », une banale fonction d'e-mail de la boutique qui s'avère accessible sans authentification.

C'est cette combinaison qui en fait le pire scénario pour une boutique publique. Aucun identifiant à contourner, aucune session administrateur à voler, aucune étape d'hameçonnage pour pousser un utilisateur à cliquer. Une boutique simplement en ligne et sur une version vulnérable est exploitable par quiconque peut la joindre sur le réseau. Pour la plupart des boutiques Magento — conçues précisément pour être trouvées et visitées — la surface d'attaque, c'est donc tout Internet.

Adobe a attribué au problème sa priorité la plus élevée et publié le 8 septembre 2026 un correctif hors cycle, référencé en interne VULN-39341. Le même jour, l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la CVE-2026-75650 à son catalogue Known Exploited Vulnerabilities (KEV) et fixé aux administrations fédérales une échéance au 11 septembre — un délai aussi court que la CISA réserve aux failles activement attaquées.

Pourquoi la note maximale de 10 ?

Un score de base CVSS de 10.0 est rarement attribué : il faut que la vulnérabilité soit au pire sur chaque axe mesuré par le modèle. StyleSmuggler coche toutes les cases : l'attaque passe par le réseau, sa complexité est faible, elle ne requiert ni privilèges ni interaction de l'utilisateur — et une exploitation réussie peut compromettre entièrement la confidentialité, l'intégrité et la disponibilité du système visé.

Traduit en clair, cela signifie qu'un attaquant distant et anonyme peut prendre le contrôle total du serveur en une seule requête, et que tout ce que manipule la boutique est exposé : fichiers clients, historique des commandes, métadonnées de paiement enregistrées, comptes administrateurs et identifiants de base de données de l'application. Sur un serveur Magento, l'exécution de code à distance signifie pratiquement la fin de la partie, car le processus web peut lire les secrets de l'application et accéder directement à la base.

Adobe liste comme versions touchées Adobe Commerce 2.4.4 à 2.4.9 (builds 2026-aug et antérieurs), Adobe Commerce B2B de 1.3.3 à 1.5.3 et Magento Open Source 2.4.6 à 2.4.9. Cette plage couvre la grande majorité des installations Magento en production, y compris les déploiements Open Source auto-hébergés que gèrent les petits marchands et les agences sans équipe de sécurité dédiée.

Comment la faille a été exploitée avant le correctif

Le détail qui doit recalibrer votre modèle de risque, c'est la chronologie. Sansec a confirmé une exploitation à partir du 4 septembre 2026 — quatre jours avant qu'Adobe ait un correctif à proposer. C'était un véritable zero-day : pendant cette fenêtre, ni correctif ni bulletin de l'éditeur, seulement des attaquants qui s'introduisaient discrètement. Toute boutique exposée sur Internet et non corrigée pendant ces jours doit être considérée comme potentiellement compromise, et pas seulement « à risque ».

Ce que les attaquants ont fait une fois à l'intérieur survit au correctif. Sansec a signalé deux familles de charges : une porte dérobée Linux écrite en Rust qui contacte des serveurs de commande et de contrôle externes pour un accès distant persistant et, lors d'autres intrusions, un web shell PHP qui permet d'exécuter des commandes PHP arbitraires via la boutique elle-même. Les deux sont conçus pour survivre à une mise à jour ultérieure : une porte dérobée déposée début septembre ne disparaît pas quand vous installez le correctif du 8 septembre.

C'est pourquoi les recommandations officielles vont au-delà du correctif. Comme les attaquants ont pu lire les secrets de la boutique, il est demandé de changer les clés de chiffrement et tous les identifiants associés dans leurs systèmes sources — mots de passe administrateur, identifiants de base de données, jetons d'intégration, clés SSH et clés d'API. Si un serveur Magento était exposé pendant la fenêtre, ses clés doivent être considérées comme grillées.

Ce que cela change pour les e-commerçants français

D'abord, traitez cela comme une réponse à incident, pas comme un cycle de mises à jour. Le réflexe face à une annonce de correctif est de planifier la mise à jour et de passer à autre chose ; StyleSmuggler casse ce réflexe parce que l'exploitation a précédé le correctif. Pour tout acteur du e-commerce sous Magento, le bon ordre est : appliquer le correctif immédiatement, puis partir du principe que la boutique a pu être atteinte et chercher en conséquence. Un correctif propre sur un serveur déjà piégé donne un faux sentiment de sécurité.

Ce que cela signifie pour le marché français : en France, Magento reste, avec PrestaShop, l'une des plateformes de référence des e-commerçants de taille intermédiaire et des sites B2B, souvent hébergée chez un infogéreur qui maintient le système mais pas l'application, et maintenue par une agence intégratrice. C'est précisément ce partage flou des responsabilités qui rend un zero-day de ce type dangereux. L'ANSSI rappelle de manière constante que les correctifs critiques des systèmes exposés sur Internet doivent être appliqués en priorité ; pour une boutique qui gère des comptes clients et des paiements, cela vaut sans réserve.

Ensuite, l'horloge de conformité tourne en parallèle de l'horloge technique. Une boutique Magento traite des données de cartes et des données personnelles, ce qui la place sous PCI DSS et le RGPD. Si des éléments montrent que des attaquants ont accédé à des données clients ou de paiement, l'obligation de notification peut courir dès que vous en avez connaissance : selon l'article 33 du RGPD, la violation doit être notifiée à la CNIL dans les 72 heures lorsqu'elle présente un risque pour les personnes concernées. L'évaluation de l'exposition n'est donc pas un nettoyage facultatif : c'est elle qui vous dit si vous devez notifier.

Enfin, soyez lucide sur qui surveille réellement la boutique. Beaucoup de marchands font tourner Magento Open Source sur leur propre infrastructure, avec une agence qui a construit le site il y a des années et un hébergeur qui corrige le système d'exploitation mais pas l'application. Ce vide — personne ne porte clairement la sécurité applicative — est exactement l'endroit où une RCE sans authentification se transforme en compromission de plusieurs mois. Si votre équipe ne sait pas répondre à « quelle version tournons-nous, était-elle exposée le 4 septembre et à quoi ressemblerait un web shell sur notre serveur », c'est le premier manque à combler, idéalement avec des ingénieurs qui maîtrisent à la fois les rouages de Magento et l'infrastructure qui l'entoure.

Check-list : corriger et rechercher les traces

1. Vérifiez votre version. Identifiez le build exact d'Adobe Commerce ou de Magento Open Source dans chaque environnement et signalez tout ce qui, dans la plage 2.4.4–2.4.9, était exposé sur Internet.
2. Appliquez VULN-39341 maintenant. Installez le correctif hors cycle d'Adobe pour la CVE-2026-75650, puis vérifiez que c'est bien la version corrigée qui tourne, et pas seulement qu'elle a été téléchargée.
3. Présumez la compromission si vous étiez exposé. Si la boutique était joignable et non corrigée entre le 4 et le 8 septembre, menez une réponse à incident au lieu de crier victoire une fois le correctif posé.
4. Changez tout. Renouvelez les clés de chiffrement, mots de passe administrateur, identifiants de base de données, jetons d'intégration, clés SSH et clés d'API dans leurs systèmes sources.
5. Traquez la persistance. Recherchez les fichiers PHP et web shells inattendus, les tâches cron inconnues, les nouveaux comptes administrateurs et les connexions sortantes vers des hôtes inconnus (la signature de la porte dérobée en Rust).
6. Vérifiez le volet conformité. Si des données clients ou de paiement ont pu être atteintes, lancez votre procédure PCI DSS et de notification RGPD et associez votre DPO avant que le délai ne décide pour vous.

Questions fréquentes

Sources

Adobe — Security update available for Adobe Commerce (APSB26-52, CVE-2026-75650)
The Hacker News — Adobe Patches Magento Zero-Day Exploited to Deploy Rust Backdoor and PHP Web Shell (September 2026)
SecurityWeek — Adobe Patches Over 170 Vulnerabilities, Including Commerce Zero-Day (September 8, 2026)