Magento : la faille PolyShell est exploitée, vos boutiques en ligne visées

Le correctif existe depuis juillet. Pourtant, des centaines de boutiques en ligne ont été compromises. Le 27 octobre, la CISA, l'agence américaine de cybersécurité, a ajouté la faille CVE-2026-48356, surnommée PolyShell, à son catalogue des vulnérabilités exploitées. Elle touche Adobe Commerce et Magento Open Source, deux des plateformes de commerce en ligne les plus utilisées par les entreprises.

Si votre site marchand repose sur Magento, c'est à vérifier aujourd'hui.

Ce que l'on sait

D'après The Hacker News, Security Affairs et SecurityOnline :

Gravité : CVSS de 9,3 sur 10. Il s'agit d'un téléversement de fichier sans restriction de type, qui peut mener à l'exécution de code sur le serveur.
Versions touchées : selon SecurityOnline, Adobe Commerce 2.4.9, 2.4.8-p5 et les versions supportées antérieures, ainsi que Magento Open Source 2.4.9 et antérieures.
Correctif : Adobe a corrigé la faille en juillet 2026 avec le bulletin APSB26-73, sous la forme de correctifs « 2026-jul » pour chaque branche supportée.
Exploitation : la CISA la considère comme activement exploitée. Selon Security Affairs, la société spécialisée Sansec a recensé au moins 953 boutiques infectées. The Hacker News évoque « des centaines » de sites compromis.
Attribution : aucune. Selon SecurityOnline, la CISA n'a pas indiqué qui est derrière ces attaques.

Comment les attaquants opèrent

Selon Sansec, cité par The Hacker News et Security Affairs, les attaquants insèrent un chargeur malveillant dans un bloc CMS de la boutique, c'est-à-dire dans un contenu affiché par le site. Ce chargeur récupère puis exécute du code contrôlé par l'attaquant.

Sansec n'a pas pu récupérer la charge finale : l'objectif exact de la campagne reste donc inconnu. Selon la même source, l'activité serait en cours depuis au moins juillet 2025.

Sur un site marchand, un code injecté de cette manière peut servir à voler les données saisies par les clients, à rediriger les visiteurs ou à garder un accès durable au serveur. C'est pourquoi il faut traiter cette faille comme un incident potentiel, et pas seulement comme une mise à jour en retard.

Pourquoi c'est grave pour une entreprise

Un site de commerce en ligne cumule plusieurs risques :

il est exposé sur Internet par nature
il traite des données personnelles et parfois des données de paiement
il est souvent maintenu par une agence ou un prestataire, avec un rythme de mise à jour que l'entreprise ne maîtrise pas toujours

Une compromission peut entraîner une fuite de données clients, une obligation de notification à la CNIL au titre du RGPD, et une perte de confiance difficile à rattraper.

Les mesures à prendre maintenant

Vérifier la version. Demandez à votre équipe ou à votre prestataire la version exacte d'Adobe Commerce ou de Magento en production, et si le correctif de juillet (APSB26-73) est appliqué.
Corriger sans attendre. Si ce n'est pas le cas, appliquez le correctif « 2026-jul » de votre branche. Une version non supportée doit être migrée.
Chercher des traces. Un correctif n'efface pas une compromission. Contrôlez les blocs CMS et les contenus modifiés récemment, les fichiers ajoutés dans les répertoires de téléversement, et les comptes administrateurs créés sans raison.
Surveiller le site côté client. Vérifiez que les pages, en particulier celles du panier et du paiement, ne chargent pas de scripts inconnus.
Préparer la réponse. En cas de doute, faites intervenir une équipe de réponse à incident et évaluez avec votre délégué à la protection des données s'il faut notifier la CNIL.

Notre regard

PolyShell rappelle une réalité simple : entre la publication d'un correctif et son application, il y a souvent des mois. Les attaquants exploitent cet écart, surtout sur des sites confiés à des prestataires et rarement audités.

Lors de nos audits applicatifs et de nos tests d'intrusion, nous vérifions précisément ce qu'un attaquant peut atteindre depuis Internet, y compris sur vos plateformes de commerce en ligne. Si vous voulez savoir où en est votre site, contactez-nous.