{"id":10121,"date":"2026-09-11T08:56:00","date_gmt":"2026-09-11T06:56:00","guid":{"rendered":"https:\/\/www.h-hennes.fr\/blog\/?p=10121"},"modified":"2026-09-11T08:56:01","modified_gmt":"2026-09-11T06:56:01","slug":"magento-stylesmuggler-la-faille-zero-day-cvss-10-activement-exploitee","status":"publish","type":"post","link":"https:\/\/www.h-hennes.fr\/blog\/2026\/09\/11\/magento-stylesmuggler-la-faille-zero-day-cvss-10-activement-exploitee\/","title":{"rendered":"Magento : StyleSmuggler, la faille zero-day CVSS 10 activement exploit\u00e9e"},"content":{"rendered":"\n

Si vous g\u00e9rez ou d\u00e9veloppez des boutiques sous Magento 2 ou Adobe Commerce, ce que je vais dire m\u00e9rite votre attention imm\u00e9diate. Une faille critique est activement exploit\u00e9e depuis le 4 septembre 2026.<\/p>\n\n\n\n

StyleSmuggler \u2014 ce qu’il faut savoir<\/h3>\n\n\n\n

La faille CVE-2026-75650<\/strong>, surnomm\u00e9e \u00ab\u00a0StyleSmuggler\u00a0\u00bb par les chercheurs de Sansec (sp\u00e9cialistes s\u00e9curit\u00e9 e-commerce), touche Adobe Commerce et Magento Open Source de la 2.4.4 \u00e0 la 2.4.9 incluse<\/strong>, tous niveaux de patch jusqu’aux versions d’ao\u00fbt 2026.<\/p>\n\n\n\n

Son score CVSS est 10.0 \u2014 le maximum. C’est une RCE (ex\u00e9cution de code \u00e0 distance) non authentifi\u00e9e, sans aucune action utilisateur requise, class\u00e9e CWE-1336<\/strong> (\u00ab\u00a0Improper Neutralization of Special Elements Used in a Template Engine\u00a0\u00bb).<\/p>\n\n\n\n

D\u00e9tail technique de la cha\u00eene d’exploitation<\/h3>\n\n\n\n

L’attaque se d\u00e9roule en plusieurs \u00e9tapes, bien plus subtiles qu’un simple champ mal filtr\u00e9 :<\/p>\n\n\n\n

    \n
  1. Requ\u00eate forg\u00e9e sur \/graphql<\/code><\/strong> : l’attaquant envoie une requ\u00eate POST contenant une directive de template Magento (de type {{block class=...}}<\/code>) accompagn\u00e9e d’un param\u00e8tre styles<\/code> pointant vers un fichier local, typiquement ..\/var\/log\/system.log<\/code>.<\/li>\n\n\n\n
  2. Empoisonnement de log<\/strong> : ce param\u00e8tre styles<\/code> sert de vecteur pour \u00e9crire du code PHP arbitraire dans ce fichier de log \u2014 c’est le \u00ab\u00a0smuggling\u00a0\u00bb qui donne son nom \u00e0 la faille, le contenu malveillant \u00e9tant dissimul\u00e9 dans des donn\u00e9es que le moteur de template ne s’attend pas \u00e0 voir ex\u00e9cut\u00e9es.<\/li>\n\n\n\n
  3. D\u00e9tournement du compilateur DI<\/strong> : une seconde requ\u00eate d\u00e9clenche, via une cha\u00eene d’injection d’objets, des classes du compilateur de dependency injection de Magento \u2014 normalement r\u00e9serv\u00e9es \u00e0 la commande CLI bin\/magento setup:di:compile<\/code> \u2014 pour qu’elles r\u00e9alisent un include<\/code>\/require_once<\/code> \u00e0 chemin variable sur le fichier de log d\u00e9j\u00e0 empoisonn\u00e9. Le PHP inject\u00e9 s’ex\u00e9cute alors c\u00f4t\u00e9 serveur.<\/li>\n\n\n\n
  4. Plusieurs analyses associent aussi le d\u00e9clenchement \u00e0 la g\u00e9n\u00e9ration de l’email \u00ab\u00a0Payment Transaction Failed Reminder\u00a0\u00bb, qui emprunte le m\u00eame chemin de rendu de template vuln\u00e9rable \u2014 l’ex\u00e9cution a donc lieu m\u00eame si l’email n’atteint jamais une bo\u00eete de r\u00e9ception.<\/li>\n<\/ol>\n\n\n\n

    La charge utile observ\u00e9e dans la nature est s\u00e9rieuse : un backdoor \u00e9crit en Rust, d\u00e9guis\u00e9 en thread noyau Linux ([kworker\/u:8:0]<\/code>), avec persistance via cron. Des variantes plus r\u00e9centes exfiltrent des donn\u00e9es syst\u00e8me via du trafic UDP d\u00e9guis\u00e9 en NTP. Un web shell PHP est \u00e9galement d\u00e9pos\u00e9 dans plusieurs cas pour garder un contr\u00f4le interactif.<\/p>\n\n\n\n

    Patcher ne suffit pas si vous \u00eates d\u00e9j\u00e0 compromis<\/h3>\n\n\n\n

    C’est le point crucial. Adobe a publi\u00e9 le patch d’urgence le 7 septembre 2026<\/strong>, bulletin de s\u00e9curit\u00e9 officiel APSB26-146<\/strong><\/a> (voir aussi l’annonce sur Adobe Commerce Knowledge Base<\/a>). Mais appliquer le patch ferme la vuln\u00e9rabilit\u00e9 sans nettoyer un site d\u00e9j\u00e0 compromis \u2014 backdoor, entr\u00e9es cron et web shell restent actifs.<\/p>\n\n\n\n

    Adobe recommande en plus, apr\u00e8s application du patch, de r\u00e9g\u00e9n\u00e9rer vos cl\u00e9s de chiffrement et les identifiants associ\u00e9s<\/strong>, par pr\u00e9caution si le serveur a pu \u00eatre compromis avant le patch.<\/p>\n\n\n\n

    Actions \u00e0 prendre maintenant<\/h3>\n\n\n\n
      \n
    1. Appliquer le patch officiel<\/strong> : bulletin APSB26-146<\/a>, fichier VULN-39341-composer-patches.zip<\/code> \u00e0 t\u00e9l\u00e9charger depuis repo.magento.com et \u00e0 appliquer via Composer.<\/li>\n\n\n\n
    2. V\u00e9rifier la compromission<\/strong> : chercher des processus suspects (notamment [kworker\/u:8:0]<\/code> avec un comportement inhabituel), des entr\u00e9es cron inconnues, des fichiers web shell r\u00e9cents dans le webroot, et examiner var\/log\/system.log<\/code> et var\/report\/<\/code> pour des traces de code inject\u00e9.<\/li>\n\n\n\n
    3. R\u00e9g\u00e9n\u00e9rer les cl\u00e9s de chiffrement et identifiants<\/strong> une fois le patch appliqu\u00e9, comme recommand\u00e9 par Adobe.<\/li>\n\n\n\n
    4. Si vous trouvez des traces de compromission, consid\u00e9rer le serveur comme compromis et traiter en cons\u00e9quence (isolation, analyse forensique, reconstruction si n\u00e9cessaire).<\/li>\n<\/ol>\n\n\n\n

      Sources : sansec.io\/research\/stylesmuggler-0day<\/a>, Adobe APSB26-146<\/a>, bleepingcomputer.com<\/a>, thehackernews.com<\/a>, socradar.io<\/a><\/p>\n\n\n\n

      IA et d\u00e9couverte de failles : le rythme s’acc\u00e9l\u00e8re<\/h3>\n\n\n\n

      Ce qui me frappe avec StyleSmuggler \u2014 et ce n’est pas un cas isol\u00e9 \u2014 c’est la vitesse \u00e0 laquelle ce type de faille \u00e9merge aujourd’hui. Les chercheurs en s\u00e9curit\u00e9 utilisent de plus en plus des outils d’analyse de code automatis\u00e9e, de fuzzing assist\u00e9 par IA et de mod\u00e8les de langage pour passer au crible des milliers de lignes de code en un temps record. C’est une tr\u00e8s bonne chose pour la d\u00e9tection. Le probl\u00e8me c’est que les attaquants ont acc\u00e8s aux m\u00eames outils.<\/p>\n\n\n\n

      On commence \u00e0 voir des failles d\u00e9couvertes et exploit\u00e9es dans une fen\u00eatre de temps beaucoup plus courte qu’avant. Ici, exploitation active le 4 septembre, patch le 7 \u2014 trois jours de fen\u00eatre d’exploitation avant m\u00eame que la plupart des \u00e9quipes aient eu le temps de r\u00e9agir.<\/p>\n\n\n\n

      Du coup la vraie question, c’est : dans un contexte o\u00f9 la d\u00e9couverte de failles s’acc\u00e9l\u00e8re gr\u00e2ce \u00e0 l’IA, est-ce que le mod\u00e8le \u00ab\u00a0je patche quand \u00e7a sort\u00a0\u00bb est encore suffisant pour prot\u00e9ger une boutique en production, ou est-ce qu’il faut repenser compl\u00e8tement l’approche \u2014 surveillance active, durcissement en amont, d\u00e9tection comportementale \u2014 pour rester dans la course ?<\/p>\n\n\n\n

      Pas de r\u00e9ponse simple, mais \u00e7a vaut le coup d’y r\u00e9fl\u00e9chir \ud83d\ude42<\/p>\n\n\n\n

      N’h\u00e9sitez pas \u00e0 partager vos retours en commentaire, et surtout \u00e0 me dire si vous avez eu des sites impact\u00e9s.<\/p>\n\n","protected":false},"excerpt":{"rendered":"

      Si vous g\u00e9rez ou d\u00e9veloppez des boutiques sous Magento 2 ou Adobe Commerce, ce que je vais dire m\u00e9rite votre attention imm\u00e9diate. Une faille critique est activement exploit\u00e9e depuis le 4 septembre 2026. StyleSmuggler \u2014 ce qu’il faut savoir La faille CVE-2026-75650, surnomm\u00e9e \u00ab\u00a0StyleSmuggler\u00a0\u00bb par les chercheurs de Sansec (sp\u00e9cialistes s\u00e9curit\u00e9 e-commerce), touche Adobe Commerce […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"set","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[246],"tags":[],"class_list":["post-10121","post","type-post","status-publish","format-standard","hentry","category-magento-2"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t