Adobe Patches Magento Zero-Day Exploited to Deploy Rust Backdoor and PHP Web Shell
Mis à jour :
Urgence critique : Correction de la vulnérabilité Zero-Day “StyleSmuggler” dans Magento
Adobe a publié des correctifs pour une faille de sécurité critique, activement exploitée par des attaquants, affectant Adobe Commerce et Magento Open Source. Cette vulnérabilité permet l’exécution de code à distance (RCE) non authentifié en manipulant le système de templates de la plateforme.
Points clés :
- Nom de la menace : StyleSmuggler.
- Mode opératoire : L’attaque exploite une injection de code PHP via le système de templates de Magento (lors de la génération d’e-mails de notification d’échec de paiement).
- Impact : Déploiement de backdoors basées sur Rust (pour une persistance sur Linux) et de web shells PHP permettant une exécution arbitraire de code.
- État : Exploitation active confirmée depuis le 4 septembre 2026.
Vulnérabilité :
- CVE-2026-75650 (Score CVSS : 10.0 - Sévérité maximale).
Versions affectées :
- Adobe Commerce : versions 2.4.9-2026-aug et antérieures.
- Adobe Commerce B2B : versions 1.5.3-2026-aug et antérieures.
- Magento Open Source : versions 2.4.9-2026-aug et antérieures.
Recommandations :
- Application du patch : Installer immédiatement le correctif officiel (
VULN-39341) disponible via les dépôts officiels Adobe/Magento. - Rotation des secrets : Procéder impérativement à la rotation des clés de chiffrement après l’installation du correctif.
- Audit : Vérifier les logs du serveur pour détecter la présence éventuelle de fichiers suspects (web shells) ou de processus inconnus liés au malware Rust.