Magento en octobre 2026 : la faille BlockStrap et des scripts cachés dans les boutiques

En octobre 2026, deux alertes ont concerné les boutiques Magento : une faille critique, BlockStrap, corrigée par Adobe le 13 octobre, et une campagne de scripts malveillants cachés dans les blocs de contenu, décrite le 24 octobre. Les faits viennent du bulletin d'Adobe et des analyses de Sansec, une société spécialisée dans la sécurité des boutiques en ligne.

Ce qui s'est passé

Début septembre : une autre faille des modèles d'e-mails de Magento, StyleSmuggler, est exploitée avant même l'existence d'un correctif. Adobe publie un correctif d'urgence le 7 septembre.
13 octobre : Adobe publie le bulletin APSB26-153, qui corrige BlockStrap (CVE-2026-103849).
14 octobre : Sansec reproduit quatre façons d'exploiter la faille en moins de 24 heures.
15 octobre : Sansec publie son analyse.
24 octobre : Sansec décrit une campagne de scripts malveillants qui a touché 953 boutiques depuis juillet 2025, en majorité sous Magento.

Au 28 octobre, Sansec n'a pas observé d'attaque BlockStrap sur des boutiques en ligne. StyleSmuggler avait été exploitée pendant trois jours avant la sortie de son correctif.

BlockStrap, une faille notée 10 sur 10

Sans compte ni mot de passe

Un attaquant peut exécuter du code sur le serveur de la boutique sans se connecter. Il a alors accès aux fichiers, à la base de données (clients, commandes) et aux pages vues par les acheteurs.

Par les modèles d'e-mails

Les modèles d'e-mails de Magento contiennent des instructions que Magento remplace par le nom du client, le numéro de commande, etc. La faille permet à un attaquant de glisser sa propre instruction dans un texte qu'il envoie, et Magento l'exécute.

La suite de StyleSmuggler

Le correctif de septembre laissait une ouverture dans le même mécanisme. Le correctif d'octobre ne remplace pas celui de septembre : il faut installer les deux.

Une mise à jour classique ne suffit pas

Le correctif ne s'installe pas avec une simple mise à jour des paquets de Magento. D'après Sansec, il faut appliquer le correctif d'octobre fourni par Adobe, puis vérifier qu'il est bien en place : certains outils d'installation de correctifs peuvent en sauter une partie sans afficher d'erreur.

Le correctif de septembre (StyleSmuggler) doit aussi être installé. Il n'est pas inclus dans celui d'octobre, et Adobe ne le signale pas comme prérequis.

Les versions 2.4.7, 2.4.8 et 2.4.9 de Magento Open Source ont un correctif gratuit. Pour les versions 2.4.4, 2.4.5 et 2.4.6, Adobe le réserve aux clients d'Adobe Commerce, la version payante, et il n'y en a aucun pour les versions plus anciennes. Une boutique sur une de ces versions doit donc passer à une version plus récente de Magento ou faire adapter le correctif à sa version.

Depuis ce correctif, un modèle d'e-mail qui contient une instruction dans l'adresse d'un lien externe ne peut plus être enregistré tel quel dans l'administration. Il s'envoie toujours, mais il faut réécrire le lien pour le modifier.

Adobe a classé la mise à jour en priorité 2, c'est-à-dire à installer sous 30 jours. Sansec conseille de ne pas attendre, vu la rapidité de l'exploitation de StyleSmuggler.

Une boutique à jour peut quand même être infectée

La campagne décrite par Sansec le 24 octobre cache un script dans les blocs de contenu de Magento, ceux qu'on modifie dans l'administration pour afficher un texte ou une bannière. Le script s'affiche donc sur les pages de la boutique et charge, chez les vrais visiteurs, un code que les pirates peuvent changer à tout moment. Sansec n'a pas pu récupérer sa version actuelle, mais a observé par le passé des redirections vers des sites douteux. Le script reconnaît aussi les outils d'analyse automatiques et ne leur montre rien, ce qui le rend difficile à repérer.

La plupart des boutiques touchées en octobre étaient déjà infectées : les attaquants y ont réécrit leur script. Les premières intrusions passaient par d'anciennes failles qui permettaient de déposer des fichiers sur le serveur, et Sansec retrouve souvent sur ces boutiques des traces de PolyShell et SessionReaper.

Sansec cite une boutique dont tous les correctifs étaient installés et qui a quand même reçu le script le 23 octobre. Un compte administrateur créé par les pirates et une porte dérobée (un accès caché laissé sur le serveur) y avaient été trouvés en septembre : installer les correctifs ne supprime pas les accès que les pirates se sont déjà créés.

Comment je traite ce type de faille

Quand un correctif de ce type sort, je vérifie d'abord s'il est installé sur les boutiques que je maintiens. Si la version d'une boutique n'a pas de correctif gratuit, je l'adapte à cette version. Avant de l'installer, je compare le rendu de tous les modèles d'e-mails avant et après le correctif, et je vérifie qu'une instruction glissée dans le nom d'un client reste affichée comme du texte. Je l'installe ensuite sur un serveur de test, où le client peut faire ses propres vérifications, puis sur la boutique en ligne.

Je cherche aussi les traces d'une intrusion : fichiers inconnus dans les dossiers où Magento enregistre les envois des visiteurs, comptes administrateurs inconnus, scripts ajoutés dans les blocs de contenu.

Ce que vous pouvez vérifier

Demandez à la personne qui maintient votre boutique si le correctif d'Adobe du 13 octobre 2026 (APSB26-153) est installé, et si celui de septembre (StyleSmuggler) l'est aussi.
Demandez quelle version de Magento fait tourner votre boutique. En 2.4.6 ou plus ancienne, Adobe ne publie pas de correctif gratuit : demandez comment il a été appliqué et prévoyez de passer à une version plus récente.
Faites vérifier les blocs de contenu et la liste des comptes administrateurs. Un compte que personne ne connaît doit être supprimé, et les mots de passe changés.
Si votre boutique n'avait pas les correctifs contre SessionReaper (2025) et PolyShell (2026), faites rechercher les fichiers déposés par les pirates, même si rien ne semble anormal.

Questions fréquentes

Ma boutique est sous Shopify ou WooCommerce, suis-je concerné ?

Non pour BlockStrap, qui touche Magento Open Source, Adobe Commerce et Mage-OS. La campagne de scripts cachés vise surtout Magento. Les failles PHP du même mois concernent en revanche aussi WooCommerce. Failles PHP2Shell d'octobre 2026

Ma boutique a-t-elle pu être attaquée par BlockStrap ?

Au 28 octobre, Sansec n'a pas observé d'attaque, mais la méthode est connue et reproduite. Les attaquants connaissent maintenant la méthode. Une boutique déjà infectée par une faille plus ancienne peut aussi être visée par d'autres moyens.

Comment savoir si le correctif est installé ?

Votre prestataire peut le vérifier dans les fichiers de Magento : Sansec donne une commande de contrôle dans son analyse. Une mise à jour faite sans appliquer le correctif ne protège pas, même si elle s'est terminée sans erreur.

Les extensions sont-elles aussi concernées ?

Pas par BlockStrap. Mais les extensions ont leurs propres failles : l'éditeur Amasty, par exemple, a publié en octobre de nouveaux correctifs, dont certains corrigent des failles critiques. Elles doivent être mises à jour comme le reste.

Sources

Pour aller plus loin

Article mis à jour le 28 octobre 2026.

Faire le point sur votre boutique

Vous ne savez pas si votre boutique Magento a reçu les correctifs d'octobre ? Écrivez-moi : je vous dis quoi vérifier et je peux m'en charger. Réponse sous 24 heures ouvrées.

M'écrire

Ou directement à contact@nolidev.fr ou au 06 52 78 53 68.

Appeler le 06 52 78 53 68