Adobe Commerce et Magento : comprendre la vulnérabilité critique exploitée en septembre 2026

Faits, analyse et incertitudes

L'essentiel de la vulnérabilité

Comment un moteur de templates devient une porte d'entrée

Un moteur de templates sert à composer des pages et des courriels à partir de modèles et de variables. C'est une brique de confort : elle permet de séparer la présentation du code. Elle implique aussi que des données soient interprétées, et non seulement affichées. Toute la sécurité d'un tel composant tient à la frontière entre ce qui est traité comme du texte et ce qui est traité comme une instruction.

Sansec décrit une exploitation en deux temps. Dans un premier temps, du code PHP est injecté dans le système de templates par l'intermédiaire de propriétés de style, en contournant les protections existantes ; la charge est déposée dans des fichiers produits par l'application elle-même, rapports d'erreur ou journaux. Dans un second temps, une requête ultérieure conduit la chaîne de traitement des templates à charger ce fichier, et le contenu déposé est alors interprété comme du code plutôt que lu comme une donnée.

Ce schéma est plus intéressant qu'une simple injection directe. Il montre qu'un attaquant n'a pas besoin de trouver un endroit où le serveur exécute ce qu'on lui envoie : il lui suffit de trouver un endroit où le serveur écrit ce qu'on lui envoie, puis un autre endroit où le serveur exécute ce qu'il a écrit. La vulnérabilité est dans la rencontre des deux, pas dans l'un ou l'autre.

Ce que risque réellement une boutique en ligne

Sur un serveur de commerce en ligne, l'exécution de code place l'attaquant à un endroit particulier de la chaîne : entre le client qui saisit ses coordonnées et la passerelle qui traite le paiement.

• Vol de données de paiement à la saisie

  Le web skimming consiste à insérer un script dans la page de commande pour copier les données saisies au clavier, avant tout chiffrement de transport. La transaction aboutit normalement, le client ne remarque rien, et la fuite peut durer des mois.

• Accès aux données clients

  Comptes, adresses, historique de commandes, adresses électroniques et numéros de téléphone. Ces données alimentent ensuite des campagnes d'hameçonnage particulièrement crédibles, puisqu'elles citent des commandes réelles.

• Détournement de sessions

  Un attaquant présent sur le serveur peut lire ou forger des sessions, y compris administratives, et agir au nom d'utilisateurs légitimes.

• Accès à la base et à sa clé

  Adobe demande explicitement la rotation de la clé de chiffrement. Cette clé protège des valeurs stockées en base ; lue par un attaquant, elle rend le chiffrement sans effet rétroactif.

• Persistance sur le serveur

  Les implants décrits par Sansec survivent à un redémarrage grâce à des tâches planifiées et se donnent des noms de processus système courants. Le correctif ne les supprime pas.

• Conséquences de conformité

  Une boutique qui traite des données de carte relève de la norme PCI DSS, et une compromission ayant touché des données personnelles relève du RGPD. Ces obligations se déclenchent sur la base d'une investigation, pas d'une impression.

Mesures immédiates

La procédure publiée par Adobe dans sa base de connaissances est inhabituellement détaillée, et son ordre a une raison d'être : il s'agit d'empêcher qu'un attaquant encore présent n'observe la rotation en cours et ne capte les nouveaux secrets.

1. Appliquer le correctif VULN-39341

   Dans la variante correspondant à la version installée. C'est la seule étape qui supprime la vulnérabilité.

2. Passer la boutique en mode maintenance et suspendre les tâches planifiées

   Adobe recommande ces deux mesures avant la rotation. Elles évitent qu'un traitement en cours ne réintroduise un secret obsolète ou ne réexécute une charge déposée.

3. Faire tourner la clé de chiffrement et les mots de passe d'administration

   Puis désactiver et régénérer les jetons d'intégration REST, SOAP et GraphQL, et faire tourner les secrets OAuth.

4. Faire tourner les identifiants externes

   Identifiants de passerelle de paiement, chez le prestataire lui-même, identifiants de base de données et de diffusion de contenu, clés SSH et de déploiement, clés d'API des extensions tierces.

5. Vider les caches, puis rétablir le service

   Réactiver les tâches planifiées et sortir du mode maintenance seulement une fois la rotation terminée.

6. Rechercher les traces d'implants

   Sansec publie des indicateurs de compromission et des commandes de vérification. Cette étape est distincte des précédentes et ne peut pas être remplacée par elles.

# Fichiers PHP présents dans un répertoire de médias, qui ne devrait en contenir aucun
find -L pub/media -type f -name '*.php'

# Processus portant des noms système courants, à corréler avec leur parent
ps -eo pid,comm,args | grep -iE 'kworker|fc-cache|chronyd'

# Traces d'échec de chargement laissées par la chaîne d'exploitation
grep -aF 'Laminas\Loader\Exception' var/log/exception.log

Mesures de fond pour une plateforme de commerce

Ce dernier point mérite d'être souligné. Le correctif d'Adobe est sorti un lundi soir, après trois jours d'exploitation. Une organisation qui ne sait mettre à jour sa boutique que lors d'une fenêtre mensuelle planifiée aurait laissé la vulnérabilité ouverte plusieurs semaines de plus. La capacité à déployer vite est devenue une mesure de sécurité à part entière.