Faille PolyShell Magento : ce que vous devez faire maintenant
Le 17 mars 2026, la société Sansec a divulgué publiquement PolyShell — une faille critique dans Magento Open Source et Adobe Commerce permettant à n’importe qui, sans compte ni authentification, d’uploader et d’exécuter du code arbitraire sur votre serveur. Trois jours après la divulgation, l’exploitation de masse avait déjà démarré. Au 14 avril 2026, 82 % des boutiques Magento vulnérables avaient reçu des uploads malveillants. Aucun patch officiel n’est disponible pour les versions de production stables à ce jour. Voici ce que vous devez faire, maintenant. Ce que fait PolyShell PolyShell exploite le endpoint d’upload de fichier des options de panier dans l’API REST de Magento : POST /rest/default/V1/carts/{cartId}/items Ce endpoint accepte un objet file_info contenant un fichier encodé en base64 — censé représenter une option produit de type “fichier joint”. Magento valide le fichier en vérifiant uniquement son en-tête pour détecter s’il s’agit d’une image. L’attaque repose sur un fichier polyglotte : un fichier qui est simultanément une image valide et un script PHP exécutable.