Faille PolyShell Magento : ce que vous devez faire maintenant
Le 17 mars 2026, la société Sansec a divulgué publiquement PolyShell, une faille critique dans Magento Open Source et Adobe Commerce. Elle permet à n’importe qui, sans compte ni authentification, d’uploader et d’exécuter du code arbitraire sur votre serveur. Trois jours après la divulgation, l’exploitation de masse avait déjà démarré. Au 14 avril 2026, 82 % des boutiques Magento vulnérables avaient reçu des uploads malveillants. Aucun patch officiel n’existe pour les versions de production stables à ce jour. Ce que fait PolyShell PolyShell exploite le endpoint d’upload de fichier des options de panier dans l’API REST de Magento : POST /rest/default/V1/carts/{cartId}/items Ce endpoint accepte un objet file_info contenant un fichier encodé en base64, censé représenter une option produit de type “fichier joint”. Magento valide ce fichier en regardant uniquement son en-tête, pour détecter s’il s’agit d’une image. L’attaque repose sur un fichier polyglotte : un fichier qui est simultanément une image valide et un script PHP exécutable. Il suffit de faire commencer le fichier par la signature GIF89a pour passer la validation, puis d’y glisser le payload PHP.