PolyShell : skimmer WebRTC vole 56 % des boutiques Magento

PolyShell : quand l'API Magento devient une porte dérobée

Depuis le 19 mars 2026, les équipes de Sansec et BleepingComputer documentent une vague d'attaques massives ciblant les boutiques Magento Open Source v2 et Adobe Commerce v2. La faille exploitée, baptisée PolyShell par les chercheurs, permet à un attaquant non authentifié d'uploader des fichiers exécutables arbitraires via l'API REST de Magento. Le mécanisme d'abus réside dans la gestion des options personnalisées des articles du panier, qui accepte des chargements de fichiers sans validation suffisante du type MIME ni contrôle d'autorisation. Une fois un fichier PHP malveillant déposé, l'attaquant dispose d'un accès shell complet au serveur.

Plus de 50 adresses IP différentes scannent activement Internet à la recherche de boutiques vulnérables, selon Sansec. Parmi les victimes confirmées figure le site e-commerce d'un constructeur automobile valorisé à plus de 100 milliards de dollars, qui n'avait pas encore appliqué le correctif bêta au moment de la divulgation. Adobe a publié un correctif le 10 mars 2026 dans la version 2.4.9-beta1, mais celui-ci n'a pas encore rejoint la branche stable de production — laissant la grande majorité des boutiques sans solution officielle stable.

Le skimmer WebRTC : une évolution qui annule la CSP

Une fois l'accès initial obtenu via PolyShell, les attaquants injectent un skimmer JavaScript de nouvelle génération dans les pages de paiement. L'innovation technique de cette campagne réside dans le canal d'exfiltration : au lieu d'envoyer les données de carte bancaire volées via une requête HTTP/HTTPS classique — bloquable par une règle Content Security Policy — le skimmer ouvre une connexion WebRTC data channel chiffrée en DTLS sur UDP. La CSP, qui ne contrôle que les flux HTTP, est ainsi totalement contournée. Le skimmer utilise également l'API requestIdleCallback pour retarder son exécution et échapper aux outils d'analyse comportementale qui surveillent les actions au moment du chargement de la page.

Cette technique marque une évolution majeure dans les attaques de type Magecart. Pour les propriétaires de boutiques en ligne, cela signifie que même une politique CSP rigoureuse ne constitue plus une défense suffisante contre les skimmers modernes. Des mécanismes complémentaires — monitoring de l'intégrité des fichiers, analyse du trafic réseau sortant incluant UDP, et intégration PCI DSS d'un WAF applicatif — deviennent indispensables.

Ce qu'il faut retenir

• Appliquez immédiatement le patch Adobe Commerce 2.4.9-beta1 si vous opérez une boutique Magento, ou implémentez les règles de blocage WAF publiées par Sansec en attendant le patch stable.
• La CSP seule ne suffit plus : les skimmers modernes utilisent WebRTC (UDP) pour exfiltrer les données en contournant toutes les politiques HTTP.
• Auditez l'intégrité de vos fichiers Magento (en particulier sous pub/media et var/) pour détecter tout fichier PHP non autorisé déposé via l'API REST.