PolyShell frappe de plein fouet l’écosystème e-commerce : cette vulnérabilité critique dans Magento Open Source et Adobe Commerce permet l’exécution de code à distance sans authentification. Découverte par l’équipe Sansec, elle est déjà exploitée massivement, touchant plus de 56 % des boutiques vulnérables en moins d’une semaine.
Qu’est-ce que la faille PolyShell ?
La vulnérabilité PolyShell réside dans l’API REST de Magento, qui accepte des téléversements de fichiers dans le cadre des options personnalisées pour les articles du panier. Cette fonctionnalité, en apparence anodine, permet à un attaquant d’envoyer des fichiers polyglottes — des fichiers qui sont simultanément valides dans plusieurs formats.
Concrètement, un fichier polyglotte peut être interprété comme une image légitime par les contrôles de validation, tout en contenant du code PHP exécutable côté serveur. Si la configuration du serveur web le permet, l’attaquant obtient :
- L’exécution de code à distance (RCE) — prise de contrôle totale du serveur
- La prise de contrôle de compte via du cross-site scripting (XSS) stocké
- L’injection de skimmers de paiement pour voler les données bancaires des clients
Toutes les versions stables de Magento 2 et Adobe Commerce sont concernées. Adobe a publié un correctif dans la version 2.4.9-beta1 le 10 mars 2026, mais celui-ci n’a pas encore atteint la branche stable, laissant des milliers de boutiques exposées.
Une exploitation massive en quelques jours
Selon Sansec, l’exploitation massive de PolyShell a débuté le 19 mars 2026, soit à peine deux jours après la divulgation publique. Le bilan est alarmant : 56,7 % de toutes les boutiques vulnérables ont déjà été ciblées.
Ce rythme d’exploitation rappelle les campagnes les plus agressives observées ces dernières années, comme l’attaque supply chain sur Trivy où les acteurs malveillants avaient agi dans les heures suivant la divulgation.
Un skimmer WebRTC inédit pour contourner les défenses
Dans certaines attaques exploitant PolyShell, les chercheurs de Sansec ont identifié un nouveau type de skimmer de paiement utilisant la technologie WebRTC (Web Real-Time Communication) pour exfiltrer les données volées.
Cette technique est particulièrement sophistiquée :
- Contournement des CSP — WebRTC utilise des canaux UDP chiffrés via DTLS au lieu de HTTP, échappant aux politiques Content Security Policy comme
connect-src - Échange SDP forgé — le skimmer se connecte directement à un serveur C2 sans passer par un serveur de signalisation classique
- Exécution différée — le code malveillant utilise
requestIdleCallbackpour s’exécuter uniquement quand le navigateur est inactif, réduisant les chances de détection - Réutilisation de nonce — le payload contourne les protections CSP en réutilisant un nonce de script existant
Ce skimmer a notamment été détecté sur le site e-commerce d’un constructeur automobile valorisé à plus de 100 milliards de dollars.
Comment protéger votre boutique Magento
Face à l’absence de correctif stable, voici les mesures de protection immédiates recommandées :
- Bloquer les IP malveillantes — Sansec publie une liste d’adresses IP impliquées dans les scans PolyShell
- Restreindre les téléversements via l’API REST — limiter les types de fichiers acceptés et leur taille
- Configurer le serveur web pour empêcher l’exécution PHP dans les répertoires de téléversement (
php_flag engine offdans Apache, oulocationrestrictive dans Nginx) - Surveiller les modifications de fichiers — un outil comme Wazuh avec sa surveillance d’intégrité peut détecter les fichiers suspects déposés sur le serveur
- Auditer les fichiers existants dans les répertoires media/ et var/ à la recherche de fichiers polyglottes (fichiers avec double extension ou contenu PHP dans des images)
- Mettre à jour vers la version beta si l’environnement de test le permet, en attendant le correctif stable
Ce que PolyShell révèle sur la sécurité e-commerce
L’attaque PolyShell illustre une tendance préoccupante : les API ouvertes des plateformes e-commerce deviennent des vecteurs d’attaque privilégiés. La combinaison d’une faille d’upload non authentifié avec des techniques d’exfiltration innovantes comme WebRTC montre que les attaquants ne se contentent plus de méthodes classiques.
Pour les PME et ETI qui opèrent des boutiques Magento, cette faille est un rappel urgent : la sécurité de votre plateforme e-commerce ne peut pas attendre les correctifs officiels. Une approche proactive — surveillance continue, durcissement de la configuration serveur et veille sur les indicateurs de compromission — reste la meilleure défense contre les attaques PolyShell et celles qui suivront.