Magento : Sansec recense 953 boutiques en ligne infectées, la CISA confirme l'exploitation de la faille PolyShell

Le 24 octobre, l’éditeur néerlandais de sécurité Sansec a publié l’analyse d’une campagne qui, depuis juillet 2025, a compromis 953 boutiques en ligne, pour l’essentiel sous Magento et Adobe Commerce (logiciel de commerce en ligne très répandu chez les PME, dans sa version libre comme dans sa version éditeur), et dont la dernière vague, repérée sur 83 boutiques, passe par un domaine enregistré le 6 octobre. Le code malveillant n’est pas déposé dans les fichiers du site mais dans la base de données, dans un « bloc de contenu » (cms_block) que Magento affiche sur les pages de la boutique ; depuis le 23 octobre, il relève l’empreinte du navigateur du visiteur et ne livre rien aux outils d’analyse automatisés, si bien qu’un scanner de sécurité peut déclarer saine une boutique infectée. Sansec n’a pas encore capturé la charge finale (les versions précédentes servaient des arnaques liées aux cryptomonnaies), mais souligne que l’attaquant conserve un accès en écriture à la base de données : supprimer le script ne le fait pas partir, et des boutiques à jour de leurs correctifs ont aussi reçu le code, l’une d’elles via un compte administrateur créé à l’insu du marchand. Le point d’entrée le plus fréquent est la faille PolyShell (CVE-2026-48356), corrigée par Adobe en juillet (bulletin APSB26-73) après avoir servi en mars à injecter 471 boutiques en une heure ; le 27 octobre, la CISA (l’agence américaine de cybersécurité) l’a inscrite à son catalogue des failles activement exploitées, en même temps que la faille Brotli que nous signalions les 27 et 28 octobre encore sans exploitation confirmée. Ce que cela change pour vous : si vous vendez en ligne sous Magento ou Adobe Commerce, demandez par écrit à votre agence ou à votre hébergeur de confirmer l’application des correctifs APSB26-73 et APSB25-88, de rechercher les indicateurs publiés par Sansec (fichiers inattendus dans le dossier pub/media/custom_options, scripts dans les blocs de contenu, comptes administrateur inconnus) et, en cas d’infection, de changer après nettoyage tous les mots de passe de la base de données, de l’administration et des connecteurs.