Faille Magento BlockStrap (CVE-2026-103849) : la course entre le correctif et les pirates
Aucun mot de passe à voler, aucun clic à obtenir : avec la faille Magento BlockStrap (CVE-2026-103849), un pirate peut exécuter son propre code PHP sur le serveur d’une boutique en ligne Magento ou Adobe Commerce. Note de gravité : 10,0 sur 10. De là, il peut cacher un écrémeur de cartes sur la page de paiement, voler la base de clients ou installer une porte dérobée.
Bonne nouvelle : au 16 octobre, aucune attaque n’avait été observée sur des boutiques réelles. Mauvaise nouvelle : la firme Sansec a construit quatre façons de l’exploiter en moins de 24 heures, et la faille précédente du même genre a été exploitée en masse trois jours après son correctif. C’est une course.
La course : correctif contre pirates
Adobe a classé le correctif en priorité 2, ce qui laisse 30 jours. Sansec n’est pas d’accord : selon elle, n’importe qui disposant d’un agent IA peut transformer le correctif en attaque fonctionnelle en peu de temps. Sa recommandation aux commerçants est sans détour : rappeler l’équipe de vacances et corriger aujourd’hui.
Êtes-vous concerné par la faille Magento BlockStrap?
Tout dépend de la plateforme de votre boutique, et surtout de qui applique les correctifs.
| Plateforme | Qui applique les correctifs | Touchée par BlockStrap? |
|---|---|---|
| Magento Open Source (auto-hébergé) | Vous, votre agence ou votre hébergeur | Oui, jusqu’à 2.4.9 « 2026-sep » |
| Adobe Commerce et Adobe Commerce B2B | Vous ou votre intégrateur | Oui, jusqu’à 2.4.9 et B2B 1.5.3 « 2026-sep » |
| Mage-OS | Vous ou votre agence | Oui jusqu’à 3.5.0, corrigé dans 3.6.0 |
| WooCommerce, PrestaShop | Vous, votre agence ou votre hébergeur | Non (autre logiciel), mais même logique : extensions et mises à jour à suivre |
| Shopify, Wix, Squarespace (plateformes hébergées) | La plateforme elle-même | Non : pas de Magento, et la plateforme applique ses correctifs |
Vous ne savez pas sur quoi roule votre boutique? C’est la première question à poser à votre agence web ou à votre hébergeur, aujourd’hui.
Deux correctifs, pas un
C’est le piège principal de cette faille. Le correctif d’octobre ne contient pas celui de septembre : il faut les deux.
🧩
Correctif de septembre
Le correctif d’urgence StyleSmuggler VULN-39341, à installer en premier et à conserver.
+
🧩
Correctif d’octobre
Une version « 2026-oct » (par exemple 2.4.9-2026-oct) ou le correctif isolé d’Adobe (bulletin APSB26-153).
=
🛡️
Boutique protégée
Contre StyleSmuggler et BlockStrap, à condition que les deux soient bien appliqués.
Autre piège relevé par Sansec : une simple installation avec Composer conserve la version de base vulnérable. Il faut appliquer explicitement la version « 2026-oct » ou le correctif isolé.
Vérifier que le correctif a vraiment pris
Les chaînes de déploiement peuvent sauter une partie d’un correctif sans afficher d’erreur. Sansec propose une vérification en une ligne, à transmettre telle quelle à votre agence ou à votre hébergeur :
Le plan des 24 prochaines heures
⏱️
H+0
Savoir où vous en êtes
- Confirmez la plateforme et la version exacte de votre boutique (votre agence ou votre hébergeur le sait).
- Demandez qui applique les correctifs, et quand.
⏱️
H+2
Corriger
- Installez d’abord le correctif de septembre
VULN-39341s’il manque, puis la version « 2026-oct » ou le correctif isolé. - Magento Open Source 2.4.6 ou plus ancien : les correctifs publics ne couvrent que 2.4.7-p10, 2.4.8-p5 et 2.4.9. Il faut passer à 2.4.7-p10 ou plus récent.
- Impossible de corriger dans l’heure? Placez la boutique derrière un pare-feu applicatif web (WAF) avec une règle contre BlockStrap.
⏱️
H+4
Vérifier
- Faites exécuter la commande de vérification ci-dessus.
- Lancez un balayage à la recherche de portes dérobées et de code d’écrémage de cartes.
⏱️
H+24
Surveiller
- Passez en revue les comptes administrateurs de la boutique et retirez ceux que personne ne reconnaît.
- Vérifiez les scripts chargés sur la page de paiement.
- Demandez à votre fournisseur de paiement de vous signaler toute hausse de fraudes.
⏱️
J+7
Prévenir
- Planifiez la mise à niveau si vous êtes sur une version qui ne reçoit plus de correctifs publics.
- Fixez une routine mensuelle de mises à jour, avec une personne responsable.
La leçon, même sans Magento
La faille Magento BlockStrap rappelle une règle simple : une boutique en ligne auto-hébergée est un logiciel qu’il faut entretenir comme un serveur. Si vous ne savez pas qui applique les correctifs, en combien de temps et qui vérifie qu’ils ont pris, vous avez trouvé votre risque principal. Et si des données de clients ou de cartes ont pu être exposées, la Loi 25 vous oblige à évaluer le risque de préjudice et à consigner l’incident dans votre registre.
À lire aussi : les 8 questions à poser à votre hébergeur web et comment une simple publicité a installé un logiciel espion. Pour un site entretenu et corrigé, voyez notre offre de création de sites web et nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
Boutique en ligne, site WordPress, extensions : savez-vous qui applique les correctifs, et en combien de temps? Le Bilan cyber gratuit fait le point sur votre site, votre hébergement et vos accès, et vous remet une liste d’actions claire.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Sansec, « BlockStrap: Magento and Adobe Commerce RCE (CVE-2026-103849) », 15 octobre 2026 (en anglais)
- Adobe, bulletin de sécurité APSB26-153, 13 octobre 2026 (en anglais)
- BleepingComputer, « Critical BlockStrap flaw lets hackers run code on Magento servers », 16 octobre 2026 (en anglais)
Photo : Kaboompics, Pexels (licence Pexels).
One thought on “Faille Magento BlockStrap (CVE-2026-103849) : la course entre le correctif et les pirates”