StyleSmuggler : le correctif Magento ne suffit pas, les secrets doivent tourner
Adobe a publié le 7 septembre 2026 le hotfix VULN-39341 contre CVE-2026-75650, dite StyleSmuggler. Dans son avis actualisé le 10 septembre, l’éditeur confirme que la faille a été exploitée contre des marchands Adobe Commerce et précise qu’elle permet à un attaquant non authentifié d’exécuter du code arbitraire. Adobe demande d’appliquer le correctif, puis de renouveler la clé de chiffrement et les identifiants susceptibles d’avoir été exposés.
Cette seconde étape est indispensable parce que le hotfix bloque la vulnérabilité sans révoquer les accès déjà copiés. La chronologie établie par Tenable situe les premières exploitations au 4 septembre, trois jours avant la publication du correctif, et donne à la faille le score CVSS maximal de 10,0. Une boutique exposée durant cette période doit donc être corrigée, examinée et débarrassée de ses anciens secrets.
Les versions concernées et le bon fichier VULN-39341
Le périmètre publié par Adobe couvre Adobe Commerce 2.4.4 à 2.4.9 et Magento Open Source 2.4.6 à 2.4.9. Pour Adobe Commerce B2B, l’avis énumère les séries 1.3.3, 1.3.4, 1.4.2, 1.5.2 et 1.5.3, avec leurs éditions mensuelles antérieures concernées.
Il n’existe pas un fichier interchangeable pour toutes les installations. Le tableau d’Adobe associe différentes archives VULN-39341 à la version exacte et à son niveau de correctif : il faut relever l’édition réellement déployée, suffixe « p » ou édition mensuelle compris, puis utiliser la ligne correspondante. Les branches anciennes qui ne figurent pas dans ce tableau ne bénéficient pas, par cette seule absence, d’une présomption de sécurité.
Cette distinction rend déjà périmées les mesures temporaires publiées avant le 7 septembre. Elles peuvent avoir limité une campagne précise, mais elles ne remplacent pas le hotfix officiel correspondant à l’environnement exploité.
Installer le hotfix, puis vérifier son état
La première urgence consiste à empêcher de nouvelles tentatives par la même faille. Après déploiement, l’administrateur doit consigner la version de la boutique, l’archive utilisée et l’heure de l’opération afin de relier précisément le changement à la période d’exposition.
Pour Adobe Commerce sur Cloud, Adobe demande une vérification explicite avec l’outil de gestion des correctifs. La commande indiquée dans l’avis doit faire apparaître VULN-39341 avec le statut « Applied ». La simple présence de l’archive dans le projet, ou le succès apparent d’un déploiement, ne démontre pas ce résultat.
Sur les autres environnements, la méthode de validation dépend du mode d’installation du correctif. Le contrôle doit néanmoins porter sur l’état réellement déployé, pas seulement sur le dépôt de code ou le ticket d’intervention. Si l’application immédiate est impossible, réduire l’exposition de l’instance reste une mesure transitoire, et non une clôture de l’incident.
Conserver les traces avant de rechercher la persistance
Une boutique accessible avant l’installation du hotfix ne peut pas être déclarée saine sur la seule base du patch. Avant de supprimer un fichier ou d’arrêter un processus suspect, il faut préserver les journaux applicatifs et système, l’état des processus, les tâches planifiées, les fichiers récemment modifiés et les connexions sortantes utiles. Cette collecte conserve la chronologie nécessaire pour déterminer ce qui a été exécuté ou consulté.
L’enquête technique de Sansec documente plusieurs formes de persistance observées après exploitation : des processus déguisés en services ordinaires, des relances par tâche planifiée et, dans une autre campagne, un web shell PHP placé dans le cache des images produit. Elle relève aussi qu’une table cron vide ne suffit pas à exclure une persistance, certaines variantes étant capables de se relancer autrement.
La recherche doit donc dépasser un indicateur unique. Elle doit examiner les processus exécutés sous l’utilisateur du site, les répertoires personnels et temporaires, les fichiers PHP inattendus sous pub/media, les tâches planifiées et les communications sortantes. Des rafales inhabituelles de courriels « Payment Transaction Failed Reminder » constituent également un signal à examiner, mais pas une preuve isolée : un paiement réellement refusé peut produire la même notification.
- Appliquer le bon hotfix et réduire l’exposition jusqu’à sa validation.
- Vérifier l’installation effective et enregistrer la version, le fichier, l’heure et le résultat du contrôle.
- Préserver les traces avant toute suppression ou remise en service.
- Rechercher la persistance dans les processus, les tâches, les fichiers et les connexions, en tenant compte de plusieurs variantes.
- Délimiter la compromission avant de considérer l’instance comme assainie.
Pourquoi tous les secrets exposés doivent être renouvelés
La clé de chiffrement de Commerce protège notamment des jetons d’intégration, des identifiants de passerelles de paiement et des jetons d’automatisation privilégiés. La remplacer modifie la protection des données conservées ensuite, mais n’invalide pas une valeur qu’un attaquant aurait déjà copiée ou déchiffrée. C’est la raison précise pour laquelle le correctif Magento ne suffit pas.
La rotation doit porter sur la clé de chiffrement, les mots de passe du panneau d’administration, les jetons d’intégration REST, SOAP et GraphQL, les secrets clients OAuth, les accès aux passerelles de paiement, les identifiants de base de données, les clés SSH et de déploiement, les comptes de service privilégiés et les clés d’API des extensions tierces. Chaque ancienne valeur doit être révoquée dans le système qui l’a émise, puis la nouvelle valeur doit être enregistrée dans Commerce. Modifier uniquement la configuration locale peut laisser un jeton valide chez le fournisseur.
L’état attendu n’est donc pas « archive installée », mais « correctif vérifié, traces conservées, recherche de compromission menée et anciens accès révoqués ». L’attribution des campagnes et le nombre total de boutiques touchées ne sont pas établis publiquement ; ces inconnues ne changent pas les mesures de remédiation déjà définies.
À lire aussi:
Abonnez-vous à notre newsletter
Recevez directement les dernières actualités sur le Web3, l’IA et les cryptomonnaies.