Nous suivons depuis quelque temps une vulnérabilité critique d'exécution de code à distance (RCE) sans authentification, référencée sous le nom de CVE-2026-75650 et baptisée StyleSmuggler. Le groupe Security Intelligence d'Akamai peut confirmer que cette vulnérabilité fait actuellement l'objet de tentatives d'exploitation actives.
Cette vulnérabilité présente un score CVSS de 10, le score maximal, et peut être exploitée sans authentification ni interaction de l'utilisateur.
Les attaquants injectent discrètement du code PHP malveillant dans la chaîne de traitement des modèles de Magento via des en-têtes HTTP et des paramètres, puis l'exécutent lors de la génération automatisée d'e-mails.
D'après notre enquête, les protections contre l'injection de commandes du moteur Akamai Adaptive Security Engine (ASE) bloquent déjà nativement les principaux vecteurs d'exploitation qui reposent sur les en-têtes et paramètres GraphQL, sans nécessiter le déploiement de nouvelles règles.
Nous continuons à vérifier que nos mécanismes de détection couvrent l'ensemble des vecteurs d'exploitation observés pour cette vulnérabilité.
Les clients concernés doivent néanmoins appliquer dès que possible le correctif d'urgence officiel publié par Adobe (APSB26-146/VULN-39341).
La vulnérabilité CVE-2026-75650 est une faille critique d'exécution de code à distance qui affecte Adobe Commerce, Adobe Commerce B2B et Magento Open Source. Elle permet à un attaquant non authentifié d'injecter du code PHP dans le moteur de modèles de la plateforme, puis de l'exécuter ultérieurement sur le serveur.
Cette faille de sécurité est activement exploitée en conditions réelles depuis début septembre 2026, ce qui a poussé Adobe à publier une mise à jour de sécurité d'urgence en dehors de son cycle habituel.
L'attaque se déroule en quatre étapes :
Un attaquant envoie une requête vers le point de terminaison GraphQL de Magento, avec du code PHP malveillant dissimulé dans un en-tête HTTP ou un paramètre.
Magento enregistre la valeur non reconnue dans ses journaux, et stocke involontairement le code PHP de l'attaquant dans un fichier journal côté serveur.
Une requête ultérieure déclenche le moteur de modèles de Magento, généralement lors de la génération d'un e-mail transactionnel standard.
Lors du processus de rendu, le moteur de modèles charge le fichier journal corrompu et exécute le code PHP qu'il contient, ce qui donne alors à l'attaquant la possibilité d'exécuter du code à distance.
L'exploitation ne nécessite ni authentification ni interaction de l'utilisateur. Toute instance exposée et non corrigée est donc vulnérable.
Cette vulnérabilité affecte les versions 2.4.4 à 2.4.9 d'Adobe Commerce et de Magento Open Source, ainsi que les versions 1.3.3 à 1.5.3 d'Adobe Commerce B2B. Les utilisateurs doivent appliquer les mises à jour de sécurité fournies par Adobe dans le bulletin APSB26-146 (correctif VULN-39341) afin de corriger cette vulnérabilité.
D'après notre enquête, les protections contre l'injection de commandes du moteur Adaptive Security Engine (ASE) d'Akamai App & API Protector bloquent nativement les principaux vecteurs d'exploitation qui reposent sur les en-têtes et paramètres GraphQL, sans nécessiter aucune nouvelle règle. Les règles ASE existantes détectent et empêchent déjà les schémas d'injection PHP et de commandes utilisés dans les tentatives d'exploitation de StyleSmuggler que nous avons observées. À la date de rédaction de cet article, aucun code d'exploitation public entièrement opérationnel n'a été identifié.
Nous continuons à vérifier que nos mécanismes de détection couvrent l'ensemble des vecteurs d'exploitation observés et émergents liés à cette vulnérabilité. Les protections du pare-feu d'application Web (WAF) d'Akamai sont capables de détecter et de bloquer les schémas d'exploitation connus. Toutefois, l'application sans délai du correctif publié par l'éditeur reste la mesure la plus efficace pour se protéger. Compte tenu de la gravité de cette faille, les mises à jour doivent être déployées dès que possible.
Le groupe Security Intelligence d'Akamai continuera de surveiller, générer des rapports et créer des mesures d'atténuation des menaces telles que celles-ci pour nos clients et la communauté de sécurité dans son ensemble. Pour rester au fait des dernières actualités du groupe Security Intelligence d'Akamai, consultez notre page d'accueil de recherche et suivez-nous sur les réseaux sociaux.
© 2026 Akamai Technologies
