En bref

  • La faille PolyShell permet l'upload de fichiers malveillants sans authentification sur Magento et Adobe Commerce.
  • Plus de 56 % des boutiques vulnérables sont déjà compromises depuis le 19 mars 2026, avec un skimmer WebRTC inédit.
  • Adobe n'a publié qu'un correctif bêta ; les administrateurs doivent bloquer manuellement le répertoire exposé.

Ce qui s'est passé

La société néerlandaise Sansec a révélé une vulnérabilité baptisée PolyShell qui touche Magento Open Source et Adobe Commerce. Cette faille permet à un attaquant non authentifié d'envoyer des fichiers exécutables déguisés en images (polyglots) via l'API REST de la plateforme, puis d'obtenir l'exécution de code arbitraire sur le serveur. Depuis le 19 mars 2026, plus de 50 adresses IP participent activement au scan et à l'exploitation de cette vulnérabilité, et Sansec a constaté que 56,7 % des boutiques vulnérables hébergent déjà des webshells ou des backdoors.

En parallèle, un nouveau type de skimmer de paiement exploitant WebRTC a été identifié sur le site e-commerce d'un constructeur automobile dont le chiffre d'affaires dépasse les 100 milliards de dollars. Ce skimmer utilise les canaux de données WebRTC avec un chiffrement DTLS sur UDP plutôt que le protocole HTTP classique, ce qui lui permet de contourner les politiques de sécurité Content Security Policy (CSP) même les plus strictes. Le script s'auto-exécute, établit une connexion peer-to-peer vers une IP codée en dur, récupère du JavaScript malveillant puis l'injecte dans la page de paiement pour voler les informations bancaires des clients.

Cette combinaison de la faille PolyShell et du skimmer WebRTC représente une menace particulièrement sophistiquée pour l'ensemble de l'écosystème e-commerce Magento, selon les chercheurs de Sansec et The Hacker News.

Pourquoi c'est important

Magento et Adobe Commerce propulsent des centaines de milliers de boutiques en ligne dans le monde, y compris des enseignes majeures. L'exploitation massive de PolyShell — touchant plus de la moitié des sites vulnérables en à peine une semaine — rappelle les campagnes Magecart qui ont sévi entre 2018 et 2022. La nouveauté ici réside dans l'utilisation de WebRTC comme canal d'exfiltration : cette technique rend les skimmers quasi invisibles pour les outils de monitoring traditionnels qui surveillent les requêtes HTTP sortantes. Les équipes de sécurité DevSecOps doivent adapter leurs contrôles réseau pour détecter les flux UDP/DTLS inhabituels en provenance des serveurs web.

Adobe a publié un correctif dans la version 2.4.9-beta1 le 10 mars, mais celui-ci n'est pas encore disponible en version stable. Les administrateurs de boutiques Magento sont donc dans une situation délicate : appliquer un patch bêta ou mettre en place des mesures de contournement manuelles. Cette fenêtre d'exposition prolongée est exactement le type de scénario que les attaquants exploitent pour maximiser leur impact, comme le soulignent les experts en forensique numérique.

Ce qu'il faut retenir

  • Bloquer immédiatement l'accès au répertoire pub/media/custom_options/ sur toutes les instances Magento et Adobe Commerce.
  • Scanner les serveurs à la recherche de webshells, backdoors et fichiers polyglots déposés depuis le 19 mars 2026.
  • Surveiller le trafic UDP/DTLS sortant des serveurs web pour détecter d'éventuels skimmers WebRTC, au-delà des seuls contrôles HTTP.

Comment savoir si ma boutique Magento est touchée par PolyShell ?

Vérifiez le contenu du répertoire pub/media/custom_options/ à la recherche de fichiers suspects (images contenant du code exécutable). Sansec propose également un scanner gratuit pour détecter les compromissions. Si vous utilisez une version antérieure à la 2.4.9-beta1, votre instance est potentiellement vulnérable et doit être auditée en priorité. Les équipes spécialisées en architecture sécurité peuvent vous accompagner dans cette démarche.

Besoin d'un accompagnement expert ?

Ayi NEDJIMI vous accompagne sur vos projets cybersécurité et IA.

Prendre contact