La faille CVSS 10 de Magento exige un correctif et une rotation des identifiants

Adobe a publié le bulletin APSB26-146 le 7 septembre 2026, corrigeant CVE-2026-75650, une faille critique d'exécution de code à distance non authentifiée dans Adobe Commerce, Adobe Commerce B2B et Magento Open Source que le chercheur en sécurité Sansec a surnommée « StyleSmuggler ». La vulnérabilité affiche le score CVSS maximal de 10,0. La CISA l'a ajoutée à son catalogue des vulnérabilités connues et exploitées le 8 septembre, avec une échéance fédérale de remédiation fixée au 11 septembre, désormais dépassée.

Ce qui est concerné et ce qui se passe

La faille affecte Commerce et Magento Open Source dans les versions 2.4.4 à 2.4.9, y compris toutes les versions correctives jusqu'à la publication mensuelle d'août 2026 comprise, ainsi que Commerce B2B 1.3.3 à 1.5.3. Sansec a signalé la première exploitation confirmée le 4 septembre, avant la publication du correctif d'Adobe, et a publié des indicateurs de compromission incluant des rafales inattendues de notifications « Échec de la transaction de paiement », des processus déguisés en fc-cache, chronyd ou kworker, des entrées cron inhabituelles et des fichiers PHP inattendus sous pub/media.

Pourquoi le correctif seul ne constitue pas une remédiation

L'application du correctif VULN-39341 ferme la voie d'exécution de code, mais les propres instructions d'Adobe indiquent explicitement qu'il n'annule pas une exposition déjà survenue. Le moteur de templates vulnérable se situe à proximité de la clé de chiffrement qui protège les jetons d'intégration, les identifiants de passerelle de paiement et les jetons d'automatisation à privilèges système. Si un attaquant a atteint cette clé avant l'application du correctif, la rotation de la clé — et de chaque identifiant qu'elle aurait pu exposer — est le seul moyen de boucler la remédiation.

À quoi ressemble une remédiation complète

• Confirmer que le correctif VULN-39341 est réellement appliqué — une chaîne de version seule ne le prouve pas.
• Effectuer la rotation de la clé de chiffrement, en suivant la procédure de rotation d'Adobe Experience League.
• Renouveler les identifiants d'administration, d'intégration, OAuth, de paiement, de base de données, SSH et d'extensions que cette clé a pu protéger.
• Examiner les tâches cron et les processus en cours d'exécution du serveur à la recherche des indicateurs publiés par Sansec.
• Attester à nouveau l'achèvement une fois la rotation vérifiée, et non pas seulement une fois le correctif installé.

Compte tenu de l'exploitation active avant l'existence du correctif, tout marchand ayant appliqué le correctif tardivement doit considérer une compromission comme possible jusqu'à ce que l'examen des journaux prouve le contraire.

Sources : Adobe APSB26-146, Adobe Experience League.