CVE-2026-71362 : prise de contrôle de comptes clients Magento sans authentification
Publié le
Adobe a publié le bulletin APSB26-92 le 11 août 2026. Il corrige CVE-2026-71362, un défaut d’autorisation noté 9.1 sur 10 : un attaquant non authentifié peut basculer une session client vers un autre compte et accéder aux données personnelles de la victime.
Corrigé par Adobe (bulletin APSB26-92, 11 août 2026)
Que fait concrètement cette faille ?
Le défaut est une autorisation incorrecte : Magento accepte de rattacher une session en cours à un compte client qui n’est pas celui du visiteur.
Aucune authentification, aucun privilège administrateur, aucune interaction de la victime. L’attaquant obtient l’accès au compte : identité, adresses, historique de commandes, données de contact.
Pourquoi a-t-elle été exploitée avant même la mise à jour de l’avis ?
Sansec a bloqué les premières tentatives d’exploitation dès le 12 août 2026, soit le lendemain de la publication, alors que l’avis d’Adobe indiquait encore ne pas connaître d’exploitation dans la nature.
C’est le schéma habituel : la publication d’un correctif est aussi le signal de départ pour les attaquants, qui font l’ingénierie inverse du patch en quelques heures. La fenêtre entre « le correctif existe » et « le correctif est déployé chez moi » est devenue la vraie fenêtre de risque.
Pourquoi le déploiement traîne-t-il autant ?
Adobe distribue ces correctifs mensuels sous forme de patchs isolés, et non de nouvelle version ni de paquet Composer mis à jour. La boutique doit déjà tourner sur la dernière version -p de sa branche pour que le patch s’applique.
Pour beaucoup de marchands, cela veut dire une montée de version préalable, des tests de non-régression, une fenêtre de maintenance. Compter en jours, souvent en semaines.
Quel est l’impact sur ma conformité ?
Un accès non autorisé aux données personnelles de vos clients est un incident notifiable au sens du RGPD et de la Loi 25 au Québec.
Savoir qui a tenté quoi, et quand, n’est donc pas un confort : c’est une pièce de dossier. Encore faut-il pouvoir retrouver ces journaux et en vérifier l’intégrité.
Qui est concerné ?
- Adobe Commerce 2.4.4 à 2.4.9
- Magento Open Source 2.4.6 à 2.4.9
- Adobe Commerce B2B 1.3.3 à 1.5.3
- CVSS v3.1 : 9.1 (critique). Exploitation observée à partir du 12 août 2026
Comment AtriShield bloque-t-il la faille ?
Patch virtuel (Business et Enterprise) : la faille est neutralisée à l’entrée de votre serveur, sans modifier votre application et sans attendre la fenêtre de maintenance. Des métadonnées de sécurité remontent à votre console.
- ✓Patch virtuel déployé par la configuration signée, sans attendre votre fenêtre de maintenance.
- ✓Les tentatives de bascule de session vers un compte tiers sont coupées à l’entrée, avant Magento.
- ✓Les tentatives sont consignées dans un registre scellé. Durée de conservation : selon contrat.
- ✓Le correctif Adobe reste à appliquer : le patch virtuel couvre l’intervalle, il ne le remplace pas.
Sources
- Sansec - Adobe patches critical Magento account takeover (APSB26-92)
- Adobe - Security bulletins for Magento
Analyse publiée par Atrilya Solutions à partir de publications de sécurité publiques. Les liens ci-dessus renvoient aux sources d’origine.