### La menace 'PolyShell' La vulnérabilité 'PolyShell' affecte toutes les installations stables de la version 2 de **Magento Open Source** et d'**Adobe Commerce**. Selon **Sansec**, une entreprise spécialisée dans la sécurité du eCommerce, la méthode d'exploitation circule déjà, suscitant des inquiétudes quant à une vague d'attaques automatisées. ### Disponibilité limitée des correctifs Actuellement, un correctif d'**Adobe** n'est disponible que dans la deuxième version alpha de la version 2.4.9. Cela laisse les versions de production vulnérables. **Sansec** note qu'**Adobe** fournit une "configuration d'exemple de serveur web qui limiterait largement les conséquences", mais de nombreux magasins dépendent des configurations de leurs fournisseurs d'hébergement. ### Analyse de la cause racine Selon un récent rapport de **Sansec**, le problème de sécurité provient de l'API REST de **Magento**, qui accepte les téléchargements de fichiers dans le cadre des options personnalisées pour les articles du panier. "Lorsqu'une option de produit a le type 'file', **Magento** traite un objet embedded file_info contenant des données de fichier encodées en base64, un type MIME et un nom de fichier. Le fichier est écrit dans pub/media/custom_options/quote/ sur le serveur", ont expliqué les chercheurs. ### Exploitation de fichiers polyglottes **Sansec** a nommé la vulnérabilité "PolyShell" car elle exploite un fichier polyglotte qui peut fonctionner à la fois comme une image et un script, ajoutant à la complexité de la détection. ### Impact potentiel : RCE et détournement de compte Selon la configuration du serveur web, la faille peut entraîner une exécution de code à distance (RCE) ou un détournement de compte via XSS stocké, affectant un nombre important de magasins analysés par **Sansec**. "**Sansec** a enquêté sur tous les magasins **Magento** et **Adobe Commerce** connus et a constaté que de nombreux magasins exposent des fichiers dans le répertoire de téléchargement." ### Étapes d'atténuation recommandées En attendant qu'**Adobe** publie un correctif pour les versions de production, il est conseillé aux administrateurs de magasins de prendre les mesures immédiates suivantes : * Restreindre l'accès à `pub/media/custom_options/` * Vérifier que les règles Nginx ou Apache empêchent efficacement l'accès à ce répertoire. * Scanner les magasins à la recherche de shells, backdoors ou autres malwares téléchargés. BleepingComputer a contacté **Adobe** pour obtenir des commentaires concernant le calendrier d'une mise à jour de sécurité abordant PolyShell, mais n'a pas encore reçu de réponse.