PolyShell : 57 % des boutiques Magento vulnérables attaquées

La veille cybersécurité permanente est devenue une nécessité opérationnelle pour les équipes de sécurité, permettant d'anticiper les nouvelles menaces, de prioriser les actions de remédiation et d'adapter les stratégies de défense en temps réel. L'actualité de la cybersécurité est marquée par une accélération sans précédent des menaces, des vulnérabilités et des incidents affectant organisations et particuliers à l'échelle mondiale. Les équipes de sécurité doivent maintenir une veille permanente pour anticiper les risques émergents, appliquer les correctifs critiques et adapter leurs stratégies de défense. Cette analyse décrypte les derniers événements marquants du paysage cyber et leurs implications concrètes pour la protection de vos systèmes d'information. À travers l'analyse de PolyShell : 57 % des boutiques Magento vulnérables, nous vous proposons un décryptage complet des enjeux et des solutions à mettre en œuvre.

Ce qui s'est passé

La société néerlandaise Sansec a révélé une vulnérabilité baptisée PolyShell qui touche Magento Open Source et Adobe Commerce. Cette faille permet à un attaquant non authentifié d'envoyer des fichiers exécutables déguisés en images (polyglots) via l'API REST de la plateforme, puis d'obtenir l'exécution de code arbitraire sur le serveur. Depuis le 19 mars 2026, plus de 50 adresses IP participent activement au scan et à l'exploitation de cette vulnérabilité, et Sansec a constaté que 56,7 % des boutiques vulnérables hébergent déjà des webshells ou des backdoors.

En parallèle, un nouveau type de skimmer de paiement exploitant WebRTC a été identifié sur le site e-commerce d'un constructeur automobile dont le chiffre d'affaires dépasse les 100 milliards de dollars. Ce skimmer utilise les canaux de données WebRTC avec un chiffrement DTLS sur UDP plutôt que le protocole HTTP classique, ce qui lui permet de contourner les politiques de sécurité Content Security Policy (CSP) même les plus strictes. Le script s'auto-exécute, établit une connexion peer-to-peer vers une IP codée en dur, récupère du JavaScript malveillant puis l'injecte dans la page de paiement pour voler les informations bancaires des clients.

Cette combinaison de la faille PolyShell et du skimmer WebRTC représente une menace particulièrement sophistiquée pour l'ensemble de l'écosystème e-commerce Magento, selon les chercheurs de Sansec et The Hacker News.

Pourquoi c'est important

Magento et Adobe Commerce propulsent des centaines de milliers de boutiques en ligne dans le monde, y compris des enseignes majeures. L'exploitation massive de PolyShell — touchant plus de la moitié des sites vulnérables en à peine une semaine — rappelle les campagnes Magecart qui ont sévi entre 2018 et 2022. La nouveauté ici réside dans l'utilisation de WebRTC comme canal d'exfiltration : cette technique rend les skimmers quasi invisibles pour les outils de monitoring traditionnels qui surveillent les requêtes HTTP sortantes. Les équipes de sécurité DevSecOps doivent adapter leurs contrôles réseau pour détecter les flux UDP/DTLS inhabituels en provenance des serveurs web.

Adobe a publié un correctif dans la version 2.4.9-beta1 le 10 mars, mais celui-ci n'est pas encore disponible en version stable. Les administrateurs de boutiques Magento sont donc dans une situation délicate : appliquer un patch bêta ou mettre en place des mesures de contournement manuelles. Cette fenêtre d'exposition prolongée est exactement le type de scénario que les attaquants exploitent pour maximiser leur impact, comme le soulignent les experts en forensique numérique.

Ce qu'il faut retenir

• Bloquer immédiatement l'accès au répertoire pub/media/custom_options/ sur toutes les instances Magento et Adobe Commerce.
• Scanner les serveurs à la recherche de webshells, backdoors et fichiers polyglots déposés depuis le 19 mars 2026.
• Surveiller le trafic UDP/DTLS sortant des serveurs web pour détecter d'éventuels skimmers WebRTC, au-delà des seuls contrôles HTTP.

Conclusion

Face à l'évolution constante des menaces, une posture de sécurité proactive est indispensable. Les techniques et recommandations présentées dans cet article constituent des fondations solides pour renforcer la résilience de votre infrastructure.