Une vulnérabilité de sécurité affecte les plateformes d’e-commerce Adobe Commerce et Magento. Découverte par la société de sécurité Sansec le 4 septembre, elle est activement exploitée pour déployer une backdoor sur les serveurs Linux des boutiques en ligne.
Adobe a réagi en publiant un correctif d’urgence le 7 septembre pour cette vulnérabilité CVE-2026-75650 au niveau de dangerosité critique et maximal. Elle a été baptisée StyleSmuggler.
Comment la faille StyleSmuggler fonctionne-t-elle ?
L’attaque exploite une faiblesse dans le système de templates de Magento. Les attaquants injectent du code PHP malveillant en utilisant les styles properties, une méthode qui leur permet de contourner les protections existantes.
L’exploitation se déroule en deux temps : d’abord, le code est » empoisonné » dans le système, par exemple en générant un rapport d’erreur. Ensuite, Magento exécute ce code malveillant lors du rendu d’un e-mail transactionnel, comme une notification d’échec de paiement.
La technique est particulièrement insidieuse car elle ne nécessite aucune interaction de la part de l’utilisateur final.
Quelles sont les conséquences d’une attaque réussie ?
Une fois l’exploitation réussie, une porte dérobée (backdoor) est installée sur le serveur. Il s’agit d’un petit programme écrit en Rust qui se dissimule en tant que processus système légitime, sous des noms comme [kworker/u:8:0], fc-cache ou encore chronyd.
Il établit une communication avec un serveur de commande et de contrôle, attendant de recevoir des instructions. Pour masquer son trafic, il fait passer ses communications pour du trafic NTP (Network Time Protocol) légitime.
Si Sansec n’a pas encore observé d’activité de suivi, la présence de backdoor ouvre la voie à des vols de données.
Quelles sont les mesures à prendre ?
L’application du patch d’Adobe est la première étape d’urgence. Cependant, comme l’exploitation a débuté quelques jours avant la sortie du correctif (faille zero-day), les systèmes doivent être analysés pour détecter toute compromission existante.
Adobe recommande fortement une rotation complète de toutes les clés de chiffrement et des identifiants (mots de passe administrateur, jetons d’API, clés de paiement, etc).
Des indicateurs de compromission, comme une hausse anormale des e-mails d’échec de paiement ou la présence de processus suspects, doivent alerter les administrateurs.