Mise à jour : Adobe a publié des correctifs urgents pour cette faille de sécurité critique. Elle est répertoriée sous l'identifiant CVE-2026-75650 (avec un score CVSS de 10/10). Aikido propose un correctif opérationnel pour plusieurs versions concernées et continuera à surveiller la situation jusqu'à ce qu'Adobe publie une version officielle.
Une nouvelle vulnérabilité zero-day baptisée StyleSmuggler permet à des attaquants non authentifiés d'exécuter du code à distance sur toutes les versions actuelles de Magento Open Source et Adobe Commerce, et elle fait l'objet d'exploitations actives depuis le 4 septembre. Sansec a publié ses recherches le 5 septembre. Adobe n'a pas publié
Aikido Intel a détecté cette faille et l'a qualifiée de critique avant qu'Adobe n'attribue de numéro CVE, et Aikido Libraries propose déjà un correctif fonctionnel pour plusieurs versions affectées. Cet article explique le fonctionnement de l'exploit, les environnements touchés et la marche à suivre pour corriger le problème, que vous soyez ou non client d'Aikido.
{{cta}}
Le correctif : ce qu'Aikido a déployé
Aikido Libraries corrige les paquets vulnérables en les remplaçant à chaud par une alternative sécurisée, évitant ainsi toute mise à niveau de version de Magento ou Adobe Commerce, et s'affranchissant des tests de non-régression. C'est le même piège de la mise à niveau dont nous avons parlé ailleurs, à ceci près qu'il n'y a ici aucune nouvelle version vers laquelle migrer. Sur une plateforme où une montée de version casse régulièrement les extensions et les personnalisations, les équipes peuvent appliquer ce correctif en un week-end au lieu de lancer un projet de plusieurs semaines impliquant l'AQ et la validation du fournisseur.
Aikido a publié des correctifs sur les branches suivantes :
- 2.3.1-p12007002+aikido
- 2.4.7-p1012007002+aikido
- 2.4.8-p512007002+aikido
Les équipes utilisant le paquet vulnérable sur plusieurs sites peuvent déployer le correctif en masse sur l'ensemble de leurs plateformes simultanément.
Le patch nettoie les styles de template avant que le moteur de Magento ne les traite, fermant précisément le chemin qu'utilise StyleSmuggler pour atteindre le traitement des directives et l'injection de dépendances de la plateforme. Il s'applique à deux endroits selon la version, s'adaptant aux deux manières dont le code vulnérable gère les données de style. Le CSS légitime passe sans encombre.
Aikido Intel est le flux de renseignement sur les menaces à l'origine de cette détection. Il suit les exploits actifs et les zero-days dès leur apparition, avant même qu'une CVE ne soit attribuée, et il a qualifié cette faille de critique pour tous les paquets concernés : AIKIDO-2026-248927 pour Magento Open Source, AIKIDO-2026-123768 pour Adobe Commerce et AIKIDO-2026-724507 pour le métapaquet Magento cloud. Chaque entrée documente le point d'injection et la condition de déclenchement, vous permettant de confirmer votre exposition sans attendre qu'Adobe réagisse.
Si vous n'êtes pas client d'Aikido, la seule mesure d'atténuation officielle comparable pour l'instant consiste à désactiver temporairement GraphQL, puisqu'il s'agit du point d'entrée exploité par l'attaque. C'est un compromis délicat pour toute vitrine e-commerce headless ou PWA, qui se retrouve hors ligne dès que GraphQL est bloqué, et cela ne protège de surcroît que contre le schéma d'attaque actuel. La faille sous-jacente reste ouverte tant qu'Adobe n'a pas publié de véritable correctif.
Fonctionnement de StyleSmuggler
L'exploit se déroule en deux étapes, tirant toutes deux parti de fonctionnalités existantes de Magento.
Premièrement, un attaquant non authentifié injecte du code PHP via les propriétés de style d'une requête GraphQL. La charge utile ne s'exécute pas immédiatement : elle est inscrite dans un fichier généré par Magento lui-même, tel qu'un rapport d'échec produit lors d'une erreur de paiement. Deuxièmement, le code s'exécute plus tard, lorsque Magento génère l'e-mail de rappel d'échec de transaction de paiement. L'e-mail n'a pas besoin d'être envoyé. Le code s'exécute côté serveur lors du rendu du template, de sorte que l'attaque aboutit même si le message n'atteint jamais aucune boîte de réception.
Des intrusions confirmées ont installé une backdoor persistante en Rust déguisée en thread du noyau. Elle survit à un redémarrage et reste en attente d'instructions, parfois pendant des heures avant d'agir. À partir de là, l'exposition correspond à ce qu'implique une RCE non authentifiée sur une plateforme e-commerce : informations personnelles des clients (PII), détails des transactions de paiement, identifiants administrateur, contenu de la base de données, ainsi qu'une porte d'entrée pour des injections de skimmers de type Magecart ciblant les acheteurs.
Qui est concerné
Toutes les versions actuelles de Magento Open Source et Adobe Commerce sont vulnérables, y compris la 2.4.9. Sansec a reproduit l'intégralité de la chaîne d'attaque sur des installations propres des versions 2.4.7, 2.4.8 et 2.4.9. Une victime identifiée exécutait la version 2.4.6-p15 avec les correctifs de sécurité de juillet et août 2026 entièrement appliqués. Le statut des patchs ne l'a pas sauvée.
La position d'Adobe
À l'heure où nous écrivons ces lignes, Adobe n'a publié aucun avis de sécurité, n'a attribué aucun identifiant CVE, ni délivré de correctif ou de solution de contournement. Son bulletin de sécurité Commerce le plus récent date toujours du 11 août. Son prochain correctif de sécurité planifié est fixé au 8 septembre. On ignore encore s'il couvrira la vulnérabilité StyleSmuggler.
Que faire dès maintenant
- Vérifiez votre exposition par rapport à l'entrée Aikido Intel pour votre package : AIKIDO-2026-248927 (Magento Open Source), AIKIDO-2026-123768 (Adobe Commerce), ou AIKIDO-2026-724507 (métapackage Magento cloud).
- Appliquez le correctif Aikido Libraries pour votre version, ou désactivez GraphQL à titre de mesure provisoire si vous ne pouvez pas appliquer de patch immédiatement.
- N'attendez pas la mise à jour d'Adobe du 8 septembre. Il n'est pas garanti qu'elle couvre ce problème.
- Réinitialisez vos identifiants Magento si vous trouvez le moindre indice de compromission, car la porte dérobée a été observée en veille prolongée avant de s'activer.
Nous mettrons cet article à jour dès qu'Adobe publiera de nouvelles directives.
FAQ
StyleSmuggler fait-il l'objet d'exploitations actives ? Oui. Sansec a confirmé du trafic d'attaque dès le 4 septembre 2026, soit la veille de la divulgation publique.
Dois-je être connecté ou disposer d'une session pour que mon site soit menacé ? Non. StyleSmuggler ne nécessite aucune authentification, ce qui signifie que les attaquants n'ont besoin d'aucun identifiant, d'aucune session ni d'aucune interaction utilisateur pour l'exploiter.
La mise à niveau vers la dernière version de Magento résout-elle le problème ? Non. Magento 2.4.9, la dernière version en date, est confirmée vulnérable au même titre que les versions 2.4.7 et 2.4.8.
Existe-t-il un patch de la part d'Adobe ? Pas encore. Adobe n'a attribué aucun CVE ni publié de patch au moment où nous écrivons ces lignes.
