PolyShell : envoi de fichiers non restreint dans Magento et Adobe Commerce
Publié le
Le 17 mars 2026, Sansec publie PolyShell : un envoi de fichiers non restreint qui touche toutes les versions de production de Magento Open Source et Adobe Commerce jusqu’à 2.4.9-alpha2. Dans les bonnes conditions, il aboutit à une exécution de code à distance non authentifiée.
Correctif éditeur d’abord limité à une préversion de 2.4.9
Que fait concrètement cette faille ?
L’API REST de Magento accepte des envois de fichiers dans les options personnalisées d’un article de panier. Quand une option produit est de type « file », Magento traite le fichier embarqué côté serveur.
Le nom PolyShell vient du fichier polyglotte utilisé : un GIF ou un PNG parfaitement valide, qui contient aussi du code PHP exécutable. Le fichier est écrit dans `pub/media/custom_options/quote/`, où il peut être exécuté, ou servir à du XSS stocké, si les protections du serveur web ne sont pas correctement appliquées.
Qu’ont déposé les attaquants ?
Sansec a observé une exploitation active dès le 16 mars 2026, la veille de la publication, puis un scan de masse automatisé trois jours plus tard.
Les charges observées : un webshell PHP exécutant du code arbitraire, et un shell d’exécution protégé par mot de passe qui passe les commandes directement à `system()`. Autrement dit, un accès administrateur permanent au serveur, indépendant de Magento.
Pourquoi le correctif éditeur ne suffit-il pas ?
Adobe a publié un correctif, mais il n’était d’abord disponible que dans la seconde préversion alpha de la 2.4.9. Les versions de production restaient donc exposées.
C’est le cas d’école du patch virtuel : la faille est publique, exploitée en masse, et le correctif officiel n’est pas installable sur une boutique de production. Attendre n’est pas une stratégie.
Que dois-je faire maintenant ?
Interdisez l’exécution de PHP dans `pub/media` au niveau du serveur web. C’est la mesure la plus rentable de toute cette liste, et elle vaut pour toutes les failles d’envoi de fichiers, pas seulement PolyShell.
Auditez `pub/media/custom_options/quote/` : cherchez les fichiers image contenant du code, pas seulement les `.php`. Une boutique exposée depuis mars peut déjà héberger un shell.
Qui est concerné ?
- Magento Open Source et Adobe Commerce : toutes les versions de production jusqu’à 2.4.9-alpha2
- Correctif éditeur d’abord disponible uniquement dans la préversion 2.4.9-alpha2
- Exploitation active observée depuis le 16 mars 2026, scan de masse à partir du 19 mars
- Bulletin Adobe de référence : APSB25-94
Comment AtriShield bloque-t-il la faille ?
Patch virtuel (Business et Enterprise) : la faille est neutralisée à l’entrée de votre serveur, sans modifier votre application et sans attendre la fenêtre de maintenance. Des métadonnées de sécurité remontent à votre console.
- ✓Patch virtuel sur l’API REST : les envois de fichiers en option d’article sont filtrés à l’entrée.
- ✓Les polyglottes image + PHP sont détectés et rejetés avant écriture dans `pub/media`.
- ✓Protection disponible même quand le correctif éditeur n’existe que dans une préversion.
- ✓Les webshells déposés avant l’activation ne sont pas effacés : un audit du dossier média reste nécessaire.
Sources
Analyse publiée par Atrilya Solutions à partir de publications de sécurité publiques. Les liens ci-dessus renvoient aux sources d’origine.