jithinkrishnanrs/stylesmuggler-ioc-toolkitStyleSmuggler (CVE-2026-75650) boîte à outils IOC pour Magento Open Source et Adobe Commerce. Détectez les boutiques compromises, les implants Rust, les shells web PHP, les artefacts de persistance et les indicateurs de compromission connus.
Zero-day Magento · Zero-day Adobe Commerce · CVE-2026-75650 · APSB26-146 · VULN-39341 · RCE non authentifiée · malware Magento · suppression de backdoor Magento · vulnérabilité Magento 2.4.9 · implant Rust · injection de styles GraphQL · web shell PHP
Indicateurs de compromission communautaires, un scanner de compromission, et des recommandations de mitigation/correctif pour StyleSmuggler (CVE-2026-75650) — la RCE non authentifiée de Magento Open Source / Adobe Commerce divulguée par Sansec le 5 septembre 2026, avec une exploitation active confirmée à partir du 4 septembre 2026. Adobe a publié un correctif officiel, APSB26-146, le 7 septembre 2026. Si vous avez recherché « StyleSmuggler IOC », « CVE-2026-75650 », « APSB26-146 », « VULN-39341 », « malware fc-cache Magento », « backdoor chronyd Magento », « gvfsd-user Magento », ou « RCE styles GraphQL Magento », c'est le dépôt qu'il vous faut.
Ceci est uniquement une boîte à outils défensive. Elle contient des signatures de détection, un scanner de compromission, et des règles de durcissement/blocage construites à partir de rapports d'incident publiés et de première main. Elle ne contient pas de code d'exploitation, de déclencheur de preuve de concept, ni quoi que ce soit qui génère la charge utile de l'attaque. Si vous cherchez cela, vous êtes dans le mauvais dépôt — allez plutôt corriger et traquer.
| Vulnérabilité | StyleSmuggler (nom donné par Sansec) — CVE-2026-75650 |
| Éditeur | Adobe (Magento Open Source, Adobe Commerce) |
| CVE | CVE-2026-75650, attribué le 2026-09-07 |
| Bulletin Adobe | APSB26-146, publié le 2026-09-07 à 20:20 UTC, Priorité 1 (la plus élevée) |
| Également requis | APSB26-138 (mise à jour régulière d'Adobe Commerce de septembre 2026, correctif isolé 249-2026-09-001-CE, publié le 2026-09-08). Adobe précise que VULN-39341 doit être appliqué en plus de celui-ci, et non à sa place. |
| CVSS | 10.0 (3.1 et 4.0) — Critique. Vecteur 3.1 complet : AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CWE | CWE-1336, Neutralisation incorrecte d'éléments spéciaux utilisés dans un moteur de templates |
| CISA KEV | Ajouté au catalogue Known Exploited Vulnerabilities de la CISA le 2026-09-08. Échéance de remédiation pour les agences fédérales civiles de la branche exécutive (FCEB) : 2026-09-11. L'entrée de la CISA signale également que cette vulnérabilité nécessite un triage forensique/IR, avec une utilisation connue dans des campagnes de rançongiciels listée comme « Unknown ». Ce n'est plus seulement un problème pour la communauté Magento — il s'agit désormais d'une RCE activement exploitée et suivie au niveau fédéral. |
| Correctif officiel | Publié. Hotfix VULN-39341. La couverture n'est pas universelle — voir le tableau ci-dessous. |
| Authentification requise | Aucune — non authentifié |
| Code d'exploit public | Pas de PoC officiel d'Adobe/Sansec, mais des sources corroborantes mentionnent un dépôt GitHub public (créé vers le 8 septembre) qui se décrit comme une reproduction en laboratoire de recherche de la chaîne complète — l'affirmation « pas de code d'exploit public » est plus faible qu'elle n'y paraît. Voir docs/VULNERABILITY.md. |
| Versions affectées | Reproduit par Sansec sur des installations propres de Magento Open Source 2.4.7, 2.4.8, 2.4.9 ; la première victime confirmée exécutait 2.4.6-p15 entièrement corrigée (avec les correctifs précédents) |
| Exploitation | Active depuis le 2026-09-04 à 22:20 UTC ; poursuivie pendant la publication du correctif ; au moins trois toolkits indépendants confirmés exploitant le même point d'entrée au 2026-09-14. Un réseau de suivi des exploits rapporte plus de 500 adresses IP sources distinctes depuis le 9 septembre. La télémétrie de WAF tiers (Imperva) indique que les cibles observées penchent vers le commerce de détail (~39,5 %), le lifestyle (~19,5 %) et la santé (~17,9 %) — des instantanés de la visibilité de chaque fournisseur, et non une affirmation sur l'ensemble de la population des boutiques vulnérables. |
| Variantes connues d'implants Rust | [kworker/u:8:0] (4 sept.) → fc-cache v2.1.4 (6 sept.) → chronyd v2.1.5 (7 sept.) — même opérateur, même ID d'agent, versions incrémentées. La version chronyd a été observée se relançant elle-même sans entrée cron et avec un parent PID 1. |
| Second attaquant, sans lien | Web shell PHP dans pub/media/catalog/product/cache/, précédé d'une sonde de reconnaissance exfiltrant par DNS — indépendant de l'implant Rust, confirmé le 2026-09-07 |
| Troisième toolkit distinct | Confirmé le 2026-09-14. Une backdoor par inclusion de fichier distant (RFI) insérée directement dans le fichier central du framework vendor/magento/framework/App/View.php, conditionnée par un cookie (gl_google_advisor_824808) déguisé en tracking ad-tech. Récupère et exécute une charge utile distante à la demande, puis supprime le fichier transitoire — rien ne subsiste sur le disque entre les requêtes, hormis la ligne altérée dans un fichier vendor. |
| Détonation sans l'e-mail | Confirmé le 2026-09-14. Une seconde chaîne atteint l'exécution complète de code via POST /paypal/transparent/response/ (code source PHP dans la chaîne de requête) sans jamais déclencher l'e-mail « failed payment » — marqueurs MGPROOF::/MGKWSIM::, exécution directe de commandes via un paramètre kwc. Les mitigations construites uniquement autour du déclencheur par e-mail ne couvrent pas ce cas. |
| Vecteurs de livraison connus | Paramètre GraphQL styles[] ; code de boutique invalide journalisé dans var/log/system.log ; fichier téléversé via les options personnalisées client de Magento ; injection d'en-tête Store: du second attaquant sans lien ; code source PHP dans la chaîne de requête de /paypal/transparent/response/ (indépendant de l'e-mail) |
| Impact | Exécution de code à distance → backdoor persistante basée sur Rust, web shell PHP indépendant, backdoor RFI furtive au niveau du framework, collecte de sessions Redis, exposition d'identifiants/secrets via app/etc/env.php |
| Produit | Couvert par APSB26-146 | Aucun correctif officiel |
|---|---|---|
| Adobe Commerce (y compris B2B, Cloud) | 2.4.4 – 2.4.9 | inférieur à 2.4.4 |
| Adobe Commerce B2B | 1.3.3 – 1.5.3 | inférieur à 1.3.3 |
| Magento Open Source | 2.4.6 – 2.4.9 uniquement | 2.4.5 et inférieur |
Si vous utilisez une version plus ancienne et non prise en charge, Adobe ne vous fournira pas de correctif même si
vous êtes tout aussi exploitable. Consultez docs/PATCHING.md pour connaître vos options
— y compris une note pour les utilisateurs de Mage-OS, qui disposent d'une version d'urgence dédiée
(3.5.0) plutôt que du package de correctif spécifique à Commerce d'Adobe.
Ces informations évoluent rapidement. Recoupez-les avec les sources primaires avant
d'agir : l'avis de Sansec et
le bulletin d'Adobe.
Consultez docs/TIMELINE.md pour un journal continu et citez vos sources lorsque
vous mettez à jour quoi que ce soit ici.
