REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Le rapport décrit l’exploitation de StyleSmuggler à partir du 4 septembre 2026. Son intérêt défensif tient à la combinaison entre entrée GraphQL, traitement de modèles et implantation après exploitation.
Déroulement décrit par la source
- La source présente une exécution de code à distance sans authentification visant Magento et Adobe Commerce.
- La chaîne décrite injecte du PHP par des propriétés de style puis déclenche son exécution dans des modèles d’emails d’échec de paiement.
- Les activités suivant l’exploitation comprennent l’installation de portes dérobées camouflées sous des noms de processus ordinaires.
- La source actualisée indique qu’Adobe a publié un correctif d’urgence le 7 septembre pour CVE-2026-75650.
Comprendre les mécanismes et les enseignements
- Leçon défensive : une restriction appliquée à un point d’entrée n’assure pas que les modifications déjà déposées dans l’application ont disparu. Les contrôles sur les modèles, les fichiers et les processus doivent compléter le traitement de l’exposition du service.
- Une description de faille non corrigée est datée. Pour décider aujourd’hui d’une mise à jour ou d’une mesure temporaire, il faut vérifier l’avis de l’éditeur et la version réellement déployée, sans transformer l’état du produit au jour du rapport en vérité permanente.
Les vérifications défensives utiles
- Inventorier les instances et leurs composants, puis confronter leur état aux avis de sécurité de l’éditeur. Documenter les mesures temporaires envisagées et tester leur impact sur les parcours de vente avant de modifier l’exposition d’une fonction utilisée par la boutique.
- Rechercher les altérations de modèles, fichiers PHP et tâches d’exécution sur les instances exposées. Corréler les changements avec les journaux applicatifs et les nouveaux processus ; un nom ressemblant à celui d’un service système ne suffit pas à valider son origine.
- En cas de compromission confirmée, préserver les traces et préparer une remise en état contrôlée. Examiner aussi les secrets accessibles à l’application et les connexions sortantes, car une simple mise à jour ne retire pas nécessairement une porte dérobée déjà installée.
Portée et limites
La source collectée intègre l’annonce du correctif du 7 septembre. Son applicabilité à une version et à une installation précises doit être vérifiée auprès de l’éditeur ; cette synthèse ne confirme pas la compromission d’une boutique particulière.
Rapport original
StyleSmuggler: Magento and Adobe Commerce 0-day RCE under active attack — sansec.io.