Introduction
Depuis le 4 septembre 2026, des boutiques en ligne construites sur Magento et Adobe Commerce sont compromises par une faille sans correctif ni numéro CVE. Baptisée StyleSmuggler par la société néerlandaise Sansec qui l'a divulguée le lendemain des premières exploitations, la vulnérabilité frappe toutes les versions actuelles de la plateforme, y compris la 2.4.9 entièrement patchée.
Un mécanisme d'exploitation qui se joue en deux actes
La première phase exploite le système de templates de Magento via GraphQL. Les attaquants manipulent les propriétés styles d'une ressource pour y injecter du code PHP malveillant, contournant les mécanismes de désinfection intégrés sans s'authentifier.
La deuxième phase est plus déroutante : l'exécution du code ne requiert aucune interaction humaine. Elle se déclenche automatiquement lorsque Magento génère en interne son email de relance standard pour les transactions de paiement échouées. Personne n'a besoin d'ouvrir ni même de recevoir ce message — le simple rendu interne de l'email suffit à activer la charge malveillante. Le dropper PHP résultant teste six fonctions différentes pour lancer un processus système, puis télécharge et installe un implant persistant.
Une backdoor qui se fait passer pour de la synchronisation horaire
L'implant est un binaire compilé en Rust d'environ 1,9 mégaoctets. Pour se fondre dans l'environnement, il adopte la désignation [kworker/u:8:0] — un nom de thread noyau Linux parfaitement banal — et se relance automatiquement toutes les cinq minutes via une tâche cron. Ses communications avec son serveur de commande et contrôle transitent par le port UDP 123, celui du protocole NTP utilisé pour la synchronisation horaire. Un trafic qui ne déclenche généralement aucune alerte dans les configurations réseau d'entreprise standards.
Toutes les versions concernées, Adobe silencieux
Sansec a reproduit l'attaque complète sur des installations nettes des versions 2.4.7, 2.4.8 et 2.4.9. La première victime confirmée tournait sur la version 2.4.6-p15, avec l'ensemble des correctifs de juillet et août 2026 appliqués : être rigoureusement à jour ne constituait pas une protection.
Au moment où ces lignes sont écrites, Adobe n'a ni publié d'avis de sécurité, ni assigné d'identifiant CVE, ni fourni de correctif. Un bulletin de sécurité est annoncé pour le 8 septembre 2026, sans garantie qu'il adresse cette vulnérabilité spécifique.
Mesures immédiates en attendant un patch officiel
Face à l'absence de correctif, plusieurs actions permettent de réduire la surface d'attaque :
- Désactiver GraphQL si la boutique n'utilise pas d'architecture headless ou progressive web app — c'est le vecteur d'injection initial.
- Désactiver la fonction PHP
proc_openet monter les répertoires temporaires avec l'optionnoexecpour bloquer l'exécution de l'implant. - Auditer les journaux dans
var/report/etvar/log/system.logpour détecter des traces d'exploitation. - Inspecter les tâches cron et les processus actifs à la recherche d'un thread
[kworker/u:8:0]illégitime.
Des correctifs informels publiés par des contributeurs de la communauté Magento permettent un durcissement partiel dans l'attente d'une réponse officielle.
Ce que ça révèle sur la posture de sécurité e-commerce
StyleSmuggler rappelle que les plateformes de commerce en ligne concentrent un profil de risque singulier : données bancaires, API ouvertes, mises à jour souvent différées sur des environnements fortement personnalisés. L'exploitation a commencé 24 heures avant la divulgation publique — les attaquants opéraient déjà lorsque la communauté prenait connaissance de la menace. Pour les équipes qui administrent ces infrastructures en production, l'application des mesures de contournement disponibles n'est pas optionnelle.