Hackers exploit critical Adobe Commerce flaw to hijack customer accounts

Menace active sur Adobe Commerce : Risque de prise de contrôle de comptes

Des tentatives d’exploitation actives ont été détectées contre une vulnérabilité critique affectant les plateformes Adobe Commerce et Magento. Cette faille permet à un attaquant de détourner des sessions clients sans nécessiter d’authentification ni de privilèges d’administration.

Points clés :

• Vulnérabilité critique : Le problème réside dans une mauvaise gestion de l’identité des clients lors des sessions, permettant de basculer une session active vers un autre compte.
• Activité malveillante : Bien qu’Adobe n’ait pas officiellement confirmé d’exploitation initiale, la société de cybersécurité Sansec a déjà identifié et bloqué des tentatives d’attaque actives.
• Mise à jour globale : Adobe a corrigé au total sept vulnérabilités dans sa mise à jour de sécurité d’août 2026.

Vulnérabilités majeures :

• CVE-2026-71362 (Critique) : Autorisation incorrecte permettant le détournement de compte (ne nécessite aucune authentification).
• CVE-2026-48413 (Élevée) : Cross-site scripting (XSS) stocké permettant l’exécution de code arbitraire (nécessite une authentification).
• CVE-2026-48414 (Élevée) : Cross-site scripting (XSS) stocké (nécessite des privilèges d’administrateur).
• CVE-2026-48416 (Élevée) : Autorisation incorrecte permettant le contournement de fonctionnalités de sécurité (ne nécessite aucune authentification). (D’autres failles de sévérité moyenne et faible, notamment les CVE-2026-48415, 48411 et 48412, ont également été corrigées).

Recommandations :

• Application immédiate des correctifs : Les administrateurs doivent installer le correctif de sécurité d’août 2026 sans délai.
• Procédure technique : Étant donné que les correctifs sont distribués sous forme de fichiers isolés, il est impératif de s’assurer que le système utilise la dernière version « -p » avant d’appliquer les patchs spécifiques.

Source