Une nouvelle vulnérabilité zero-day frappe l’écosystème Magento. Baptisée StyleSmuggler par les chercheurs de Sansec, elle permettrait à un attaquant distant d’exécuter du code sur le serveur d’une boutique sans disposer d’aucun compte. Des attaques réelles sont déjà observées depuis le 4 septembre 2026.
La situation est d’autant plus préoccupante qu’au 5 septembre, aucun correctif officiel n’est encore disponible pour cette faille. Les attaquants l’utilisent déjà pour installer une porte dérobée persistante sur les serveurs compromis.
Magento et Adobe Commerce directement concernés
Magento Open Source et Adobe Commerce sont utilisés pour faire fonctionner de nombreuses boutiques en ligne. Une compromission de ce type est particulièrement critique puisqu’elle intervient directement sur le serveur qui héberge le site marchand.
Sansec considère que les versions actuelles sont concernées, y compris Magento 2.4.9. Les chercheurs ont reproduit l’attaque complète sans authentification sur des installations neuves de Magento Open Source 2.4.7, 2.4.8 et 2.4.9. La première boutique compromise qu’ils ont analysée utilisait même la version 2.4.6-p15 avec les correctifs de juillet et août 2026 installés.
Du code malveillant caché dans le système de templates
StyleSmuggler exploite le système de templates de Magento. D’après l’analyse de Sansec, les attaquants parviennent à injecter du code PHP malveillant en détournant notamment certaines propriétés liées aux styles, puis provoquent son exécution lors du rendu effectué par Magento.
L’attaque se déroule en plusieurs étapes et peut notamment détourner le mécanisme utilisé pour générer les notifications d’échec de paiement. L’utilisateur n’a rien à ouvrir ou à cliquer : le code s’exécute côté serveur lorsque Magento traite le contenu.
Une porte dérobée installée sur les boutiques compromises
Une exploitation réussie permet d’obtenir une exécution de code à distance et d’installer un implant persistant sur le serveur. Un attaquant disposant d’un tel accès peut ensuite chercher à maintenir sa présence et à étendre la compromission.
Pour une boutique en ligne, les conséquences potentielles sont importantes : modification du site, vol de données accessibles depuis le serveur, injection de nouveaux scripts malveillants ou utilisation de la machine compromise comme point d’appui pour poursuivre l’attaque.
Des boutiques sont déjà compromises
Sansec indique avoir détecté la campagne dans la soirée du 4 septembre. Une société spécialisée dans l’hébergement et le développement Magento, Disrex Group, affirme de son côté avoir traité deux boutiques compromises et une troisième attaquée sans succès, apportant un second constat indépendant d’exploitation dans la nature.
Aucun CVE ni correctif officiel pour le moment
La vulnérabilité ne dispose pour l’instant d’aucun identifiant CVE public. Adobe n’a pas encore publié de correctif spécifique pour StyleSmuggler. Une prochaine publication de sécurité Adobe est attendue le 8 septembre, mais rien ne garantit à ce stade que cette faille y sera corrigée.
Désactiver temporairement GraphQL en attendant le correctif
En attendant une correction officielle, Sansec recommande aux boutiques ne disposant pas de sa protection spécifique de désactiver temporairement GraphQL lorsque leur architecture le permet, puis de rechercher d’éventuels signes de compromission sur les serveurs.
Cette mesure n’est toutefois pas adaptée à toutes les boutiques : certaines architectures headless ou PWA dépendent directement de GraphQL. Les administrateurs doivent donc surtout surveiller immédiatement leurs installations et préparer l’application du correctif dès sa publication.