Magento : la faille PolyShell ajoutée au catalogue KEV

La faille Magento baptisée PolyShell est désormais officiellement considérée comme exploitée. L'agence américaine de cybersécurité, la CISA, a ajouté le 27 octobre 2026 la vulnérabilité CVE-2026-48356, qui touche Adobe Commerce et Magento Open Source, à son catalogue des failles exploitées (KEV). Un correctif existe depuis juillet, mais les boutiques mises à jour tardivement peuvent encore héberger des fichiers déposés par des attaquants.

Un téléversement de fichier sans authentification

CVE-2026-48356 est classée comme un téléversement non restreint de fichier de type dangereux (CWE-434). Dans son bulletin APSB26-73, Adobe la juge critique, avec un score CVSS de 9,6, et précise qu'aucune authentification n'est nécessaire pour l'exploiter.

Le mécanisme a été documenté par la société spécialisée Sansec, qui a publié ses recherches le 17 mars 2026 sous le nom de PolyShell. L'API REST de Magento accepte des fichiers joints aux options personnalisées d'un article de panier, y compris sur les points d'accès réservés aux paniers invités. Le contrôle se limitait à vérifier l'en-tête d'image du fichier : un fichier « polyglotte », qui commence comme un GIF ou un PNG mais contient du code PHP, passait donc le filtre. Le fichier est écrit dans le répertoire pub/media/custom_options/quote/.

La gravité réelle dépend de la configuration du serveur web. Si celui-ci exécute ou sert les fichiers de ce répertoire, l'attaquant obtient une exécution de code à distance ; dans d'autres cas, la faille permet une injection de script stockée. Selon Sansec, les mutations GraphQL ne sont pas concernées.

Une exploitation observée depuis mars

Le bulletin d'Adobe indique toujours que l'éditeur n'a connaissance d'aucune exploitation, une mention antérieure à l'inscription au catalogue KEV. Sansec rapporte de son côté les premières attaques dès le 19 mars 2026. Le 30 mars, la société a décrit une vague au cours de laquelle 471 boutiques ont été compromises en une heure : dépôt d'un webshell, installation de portes dérobées nommées accesson.php dans plusieurs répertoires, puis injection de JavaScript obscurci dans les pages et blocs CMS.

L'échéance fixée par la CISA, le 10 novembre 2026, ne s'impose qu'aux agences fédérales civiles américaines, mais le catalogue KEV sert de signal de priorité pour toutes les organisations. Le même jour, la CISA y a également inscrit une faille de la bibliothèque de compression Brotli de Google. La semaine dernière, ce sont deux failles critiques de PHP qui avaient mobilisé les administrateurs de sites.

Quelles versions installer

Le bulletin APSB26-73, publié le 14 juillet 2026, corrige quatorze vulnérabilités. Les correctifs prennent la forme de niveaux de patch isolés suffixés « 2026-jul » :

• Adobe Commerce : 2.4.9, 2.4.8, 2.4.7, 2.4.6, 2.4.5 et 2.4.4 en version 2026-jul ;
• Magento Open Source : 2.4.9, 2.4.8, 2.4.7 et 2.4.6 en version 2026-jul ;
• Adobe Commerce B2B : branches 1.5.3, 1.5.2, 1.4.2, 1.3.4 et 1.3.3 en version 2026-jul.

Au-delà du correctif

Appliquer le correctif empêche de nouveaux dépôts, mais ne supprime pas les fichiers déjà présents. Sansec recommande de bloquer l'accès au répertoire pub/media/custom_options/ : sous nginx, la règle de refus doit précéder tout bloc de traitement PHP ; sous Apache, le fichier .htaccess de ce répertoire doit désactiver le moteur PHP et refuser l'accès.

Les administrateurs ont intérêt à inspecter ce répertoire à la recherche de fichiers PHP ou polyglottes, à vérifier les blocs CMS et les gabarits pour repérer du JavaScript injecté, et à passer en revue les comptes d'administration. Une boutique compromise avant la mise à jour peut avoir conservé un accès indésirable, même une fois le code malveillant retiré.