L’essentiel en bref
- La faille CVE-2026-75650 obtient un score CVSS de 10.0 et permet l’exécution de code arbitraire sans identifiants. Adobe a publié le bulletin APSB26-146 le 7 septembre 2026, avec la priorité maximale.
- Sansec a observé des attaques depuis au moins le 4 septembre, soit trois jours avant le correctif, avec une porte dérobée dont le serveur de commande se fait passer pour un serveur NTP.
- Adobe recommande, après l’application du correctif, de renouveler l’ensemble des mots de passe et identifiants concernés, y compris directement auprès des prestataires de paiement, et pas uniquement dans l’interface Commerce.
Ce que la faille permet concrètement
La faille relève de la catégorie CWE-1336 : une neutralisation incorrecte d’éléments spéciaux dans un moteur de templates.
Concrètement, un attaquant n’a besoin d’aucun compte pour exploiter la faille : il peut, à distance, faire exécuter son propre code par le serveur. L’attaque passe par le réseau, présente une faible complexité et ne nécessite aucune action de la part d’un utilisateur. C’est cette combinaison de facteurs qui explique le score maximal de 10 attribué sur l’échelle CVSS.
Des attaques observées dès le 4 septembre
Sansec, société néerlandaise spécialisée dans la sécurité e-commerce, a nommé la faille StyleSmuggler et documenté les premières attaques à partir du 4 septembre.
La charge déposée installe une porte dérobée dont le canal de commande et de contrôle imite le trafic d’un serveur de temps NTP, ce qui la rend discrète dans les journaux réseau.
Elle laisse malgré tout des traces exploitables. Les serveurs compromis émettent des emails de type « Payment Transaction Failed Reminder », un signal que les équipes support peuvent repérer sans outil spécialisé.
Plusieurs modes opératoires déjà identifiés
Dans une mise à jour de son rapport, Sansec fait également état d’un second attaquant utilisant un mode opératoire différent.
Celui-ci déploie un webshell PHP de 485 octets, chargé de collecter des informations sur le serveur, de vérifier si le répertoire pub/media est accessible en écriture, puis d’exfiltrer les données récupérées vers un sous-domaine oast.site, une infrastructure couramment associée à l’outil de test Interactsh.
Si vous gérez des boutiques Magento pour vos clients, appliquer le correctif ne suffit donc pas. Il faut aussi vérifier si un attaquant a pu déposer des fichiers ou du code malveillant avant sa mise en place.
Les versions concernées
Le correctif porte la référence VULN-39341 et se décline en plusieurs archives selon la version installée.
Dans sa mise à jour du 11 septembre, Adobe indique que le patch est désormais compatible avec l’ensemble des versions comprises entre 2.4.4 et 2.4.7, ce qui n’était pas le cas à la publication initiale.
Pour Commerce Cloud, Adobe recommande de vérifier que le correctif a bien été appliqué à l’aide du Quality Patches Tool. La seule présence du fichier ne permet pas, à elle seule, de confirmer que le patch est effectivement actif.
Pourquoi appliquer le correctif ne suffit pas ?
La clé de chiffrement de Magento protège notamment les jetons d’intégration, les identifiants des passerelles de paiement et certains jetons d’automatisation disposant de privilèges élevés.
Adobe insiste toutefois sur un point essentiel : renouveler uniquement cette clé ne suffit pas à invalider les identifiants qui auraient déjà été compromis.
Ceux-ci doivent être régénérés directement auprès des services concernés (Stripe, Braintree, Adyen ou PayPal, par exemple) et pas seulement mis à jour dans l’interface Commerce.
Sans cette rotation à la source, un attaquant ayant récupéré ces identifiants avant l’application du correctif peut continuer à les utiliser.
La procédure complète publiée par Adobe comporte quinze étapes.
Si vous êtes au sein d’une agence qui gère une dizaine de boutiques, cette procédure peut mobiliser plusieurs jours de travail et nécessite de coordonner les opérations avec chaque prestataire de paiement. Le coût est donc loin d’être négligeable.
Il est donc difficile de passer à côté, les précédents observés sur d’autres plateformes, comme la faille critique découverte sur PrestaShop, ont montré qu’une boutique remise en ligne sans renouvellement complet de ses identifiants et mots de passe reste exposée à une nouvelle faille.
La faille devient aussi un sujet RGPD
L’article 33 du RGPD impose au responsable de traitement de notifier la violation à la CNIL dans les 72 heures suivant le moment où il en a pris connaissance, sauf si la violation est peu susceptible d’engendrer un risque pour les personnes.
Le point de départ du délai n’est donc pas la date du correctif Adobe, mais celle où vous avez eu connaissance d’indices de faille sur une installation donnée.
Lorsque la violation présente un risque élevé pour les personnes concernées, l’article 34 du RGPD impose également de les en informer. Si vous intervenez en tant que prestataire, vous êtes considéré comme sous-traitant au sens du règlement : l’article 33.2 vous oblige alors à prévenir votre client dans les meilleurs délais dès que vous avez connaissance de la violation.
Cette obligation existe indépendamment de ce que prévoit le contrat.
Notre avis :
Toute boutique Magento restée exposée entre le 4 et le 7 septembre doit donc être considérée comme potentiellement compromise tant qu’aucune vérification n’a permis d’écarter ce risque. L’application du correctif bloque l’exploitation de la faille, mais elle ne permet ni de détecter une intrusion antérieure ni d’invalider des identifiants déjà exfiltrés.
Tant qu’une recherche de webshell n’a pas été menée et que les mots de passe n’ont pas été renouvelés jusqu’au niveau des prestataires de paiement, l’incident ne peut pas être considéré comme définitivement traité.
Fondateur de LEPTIDIGITAL et SUPASST, je suis également consultant spécialisé en acquisition de leads B2B (SaaS). Passionné par le marketing digital, l’intelligence artificielle et le SEO. Avant de devenir indépendant, j’ai occupé des postes clés en tant que SEO Manager et responsable e-commerce pour plusieurs grandes entreprises (Altice Media, Infopro Digital, Voyage Privé et le Groupe ERAM). Sur le plan perso, je suis un curieux insatiable, également passionné par la photographie, le badminton et les voyages. Pour toute demande de partenariat, privilégiez LinkedIn ou email ([email protected]).
