La veille cybersécurité s'impose désormais comme une fonction opérationnelle critique, et la campagne PolyShell Magento en apporte une démonstration brutale. Selon les dernières mesures, 57 % des boutiques Magento exposées à cette faille ont déjà été compromises par un webshell polymorphe capable de réécrire sa propre signature à chaque exécution, échappant ainsi aux règles de détection statiques. Les attaquants exploitent cette porte dérobée pour siphonner les données de paiement en clair au moment de la validation du panier, une technique de skimming côté serveur particulièrement difficile à repérer. Pour les responsables sécurité et les équipes e-commerce, l'enjeu dépasse le simple correctif : il impose un inventaire précis des instances exposées, une chasse aux indicateurs de compromission et un durcissement durable de la chaîne de paiement en ligne.

  • Contexte et chronologie des événements
  • Impact sur l'écosystème cybersécurité
  • Leçons apprises et recommandations
  • Perspectives et évolutions attendues

En bref

  • La faille PolyShell permet l'upload de fichiers malveillants sans authentification sur Magento et Adobe Commerce.
  • Plus de 56 % des boutiques vulnérables sont déjà compromises depuis le 19 mars 2026, avec un skimmer WebRTC inédit.
  • Adobe n'a publié qu'un correctif bêta ; les administrateurs doivent bloquer manuellement le répertoire exposé.

Ce qui s'est passé

La société néerlandaise Sansec a révélé une vulnérabilité baptisée PolyShell qui touche Magento Open Source et Adobe Commerce. Cette faille permet à un attaquant non authentifié d'envoyer des fichiers exécutables déguisés en images (polyglots) via l'API REST de la plateforme, puis d'obtenir l'exécution de code arbitraire sur le serveur. Depuis le 19 mars 2026, plus de 50 adresses IP participent activement au scan et à l'exploitation de cette vulnérabilité, et Sansec a constaté que 56,7 % des boutiques vulnérables hébergent déjà des webshells ou des backdoors.

En parallèle, un nouveau type de skimmer de paiement exploitant WebRTC a été identifié sur le site e-commerce d'un constructeur automobile dont le chiffre d'affaires dépasse les 100 milliards de dollars. Ce skimmer utilise les canaux de données WebRTC avec un chiffrement DTLS sur UDP plutôt que le protocole HTTP classique, ce qui lui permet de contourner les politiques de sécurité Content Security Policy (CSP) même les plus strictes. Le script s'auto-exécute, établit une connexion peer-to-peer vers une IP codée en dur, récupère du JavaScript malveillant puis l'injecte dans la page de paiement pour voler les informations bancaires des clients.

Cette combinaison de la faille PolyShell et du skimmer WebRTC représente une menace particulièrement sophistiquée pour l'ensemble de l'écosystème e-commerce Magento, selon les chercheurs de Sansec et The Hacker News.

Pourquoi c'est important

Magento et Adobe Commerce propulsent des centaines de milliers de boutiques en ligne dans le monde, y compris des enseignes majeures. L'exploitation massive de PolyShell — touchant plus de la moitié des sites vulnérables en à peine une semaine — rappelle les campagnes Magecart qui ont sévi entre 2018 et 2022. La nouveauté ici réside dans l'utilisation de WebRTC comme canal d'exfiltration : cette technique rend les skimmers quasi invisibles pour les outils de monitoring traditionnels qui surveillent les requêtes HTTP sortantes. Les équipes de sécurité DevSecOps doivent adapter leurs contrôles réseau pour détecter les flux UDP/DTLS inhabituels en provenance des serveurs web.

Adobe a publié un correctif dans la version 2.4.9-beta1 le 10 mars, mais celui-ci n'est pas encore disponible en version stable. Les administrateurs de boutiques Magento sont donc dans une situation délicate : appliquer un patch bêta ou mettre en place des mesures de contournement manuelles. Cette fenêtre d'exposition prolongée est exactement le type de scénario que les attaquants exploitent pour maximiser leur impact, comme le soulignent les experts en forensique numérique.

Ce qu'il faut retenir

  • Bloquer immédiatement l'accès au répertoire pub/media/custom_options/ sur toutes les instances Magento et Adobe Commerce.
  • Scanner les serveurs à la recherche de webshells, backdoors et fichiers polyglots déposés depuis le 19 mars 2026.
  • Surveiller le trafic UDP/DTLS sortant des serveurs web pour détecter d'éventuels skimmers WebRTC, au-delà des seuls contrôles HTTP.

Comment savoir si ma boutique Magento est touchée par PolyShell ?

Vérifiez le contenu du répertoire pub/media/custom_options/ à la recherche de fichiers suspects (images contenant du code exécutable). Sansec propose également un scanner gratuit pour détecter les compromissions. Si vous utilisez une version antérieure à la 2.4.9-beta1, votre instance est potentiellement vulnérable et doit être auditée en priorité. Les équipes spécialisées en architecture sécurité peuvent vous accompagner dans cette démarche.

Article suivant recommandé

LangChain et LangGraph : trois failles critiques révélées →

Trois vulnérabilités dans LangChain et LangGraph exposent fichiers, clés API et historiques de conversations. Avec 84 mi

Points clés à retenir

  • Contexte : PolyShell : 57 % des boutiques Magento vulnérables attaquées — un sujet critique pour la cybersécurité des organisations
  • Impact : Les risques identifiés peuvent compromettre la confidentialité, l'intégrité et la disponibilité des systèmes
  • Action recommandée : Évaluer votre exposition et mettre en place les contrôles de sécurité appropriés

Sources et références

Comment renforcer la cybersécurité de votre organisation ?

Le renforcement passe par une évaluation des risques, la mise en place de contrôles techniques (pare-feu, EDR, SIEM), la formation des collaborateurs, des audits réguliers et l'adoption de frameworks reconnus comme ISO 27001 ou NIST CSF.

Pourquoi la cybersécurité est-elle un enjeu stratégique en 2026 ?

Avec l'augmentation de 45% des cyberattaques en 2025, la cybersécurité est devenue un enjeu de survie pour les organisations. Les réglementations (NIS2, DORA, AI Act) imposent des obligations strictes et les conséquences financières d'une compromission peuvent atteindre plusieurs millions d'euros.

Quels sont les premiers pas pour sécuriser une infrastructure ?

Les premiers pas incluent l'inventaire des actifs, l'identification des vulnérabilités critiques, le déploiement du MFA, la segmentation réseau, la mise en place de sauvegardes testées et l'élaboration d'un plan de réponse à incident.

Conclusion

Face à l'évolution constante des menaces, une posture de sécurité proactive est indispensable. Les techniques et recommandations présentées dans cet article constituent des fondations solides pour renforcer la résilience de votre infrastructure.

Besoin d'un accompagnement expert en cybersécurité ? Contactez Ayi NEDJIMI Consultants pour un audit personnalisé de votre infrastructure.

Termes clés

Surface d'attaque : Ensemble des points d'entrée exploitables par un attaquant pour compromettre un système, incluant les services exposés, les interfaces utilisateur et les API.