Faille zero-day de Magento et Adobe Commerce exploitée : appliquez le correctif

En septembre 2026, Adobe a publié le bulletin de sécurité APSB26-146, daté du 7 septembre, avec un correctif d'urgence pour Adobe Commerce et Magento Open Source. Il corrige CVE-2026-75650, une faille du moteur de gabarits notée 10,0 sur 10, qui permet à un attaquant d'exécuter du code sur le serveur de la boutique sans se connecter. Adobe a indiqué avoir connaissance de son exploitation, et sa base de connaissances parle d'une faille zero-day visant les marchands. L'agence américaine CISA l'a ajoutée à son catalogue de vulnérabilités exploitées le 8 septembre 2026.

Quelques semaines plus tard, le 24 septembre, la CISA a aussi classé comme exploitée CVE-2026-71362, une faille d'autorisation de Magento corrigée dans le bulletin d'Adobe d'août 2026, APSB26-92. Elle peut donner à un attaquant un accès élevé à des ressources sensibles.

Qui est concerné

Magento Open Source 2.4.6 à 2.4.9 et Adobe Commerce 2.4.4 à 2.4.9, dans toutes les versions datées d'août 2026 ou avant, sauf si le correctif de CVE-2026-75650 a été appliqué. Adobe Commerce B2B figure aussi dans la liste. Votre hébergeur ne corrige généralement pas Magento lui-même : cela revient au propriétaire de la boutique ou à l'agence qui l'entretient.

Comment vérifier votre site

• Connectez-vous à l'administration de Magento. La version figure en bas des pages d'administration.
• Demandez à votre développeur ou à votre agence si le correctif de CVE-2026-75650 (référence Adobe VULN-39341) a été appliqué, et à quelle date.
• Demandez aussi si la mise à jour de sécurité d'août 2026 a été installée.

Quoi faire maintenant

1. Faites appliquer dès maintenant le correctif correspondant à votre version exacte, selon l'article de la base de connaissances d'Adobe, puis passez à la version la plus récente.
2. Selon Adobe, le correctif seul ne suffit pas. Il recommande notamment de changer la clé de chiffrement, tous les mots de passe d'administration, les jetons d'API et d'intégration, les identifiants des passerelles de paiement, ceux de la base de données et les clés SSH ou de déploiement.
3. Demandez à votre développeur de chercher des comptes administrateurs inconnus et des fichiers inattendus sur le serveur, et de vérifier les commandes et réglages de paiement récents.
4. En cas de signe de compromission, prévenez votre prestataire de paiement et faites appel à un professionnel, car des données de cartes peuvent être en jeu.

Les boutiques dont le développeur a appliqué le correctif et changé les identifiants en septembre 2026 sont très probablement protégées, mais comme les attaques ont commencé avant le correctif, ces vérifications restent utiles. Cette alerte rapporte ce que les sources ci-dessous ont publié et ne constitue pas une garantie concernant un site en particulier.