Contexte d'Adobe Commerce
Adobe Commerce, anciennement Magento, repose sur une architecture modulaire PHP/MySQL. Chaque boutique héberge un ensemble de modules qui s’interfacent via des points d’extension (plugins, observers). Le titre indique que "hundreds of stores" ont été compromis, ce qui montre que l’attaque cible le modèle multi‑tenant de la plateforme, où un même code partagé peut être exécuté dans le contexte de plusieurs sites. Cette caractéristique facilite la propagation d’une charge malveillante lorsqu’une vulnérabilité affecte le cœur du framework ou un module largement déployé.
Mécanisme des attaques PolyShell
Le terme "PolyShell" suggère l’utilisation d’un shell polyvalent capable d’interagir avec plusieurs couches du système (web, base de données, système d’exploitation). Dans le contexte d’Adobe Commerce, un tel shell pourrait être injecté via des points d’entrée classiques : formulaires de contact, API REST ou extensions tierces. Une fois installé, le shell exploite les privilèges du processus PHP‑FPM, permettant l’exécution de commandes arbitraires, la lecture de fichiers de configuration et la modification de tables de la base de données. Le titre précise que ces attaques ont conduit à la compromission de centaines de boutiques, ce qui implique que le vecteur d’injection était suffisamment générique pour être réutilisé à grande échelle.
Exploitation du protocole Brotli
Le titre mentionne "Brotli exploit traffic emerges". Brotli est un algorithme de compression HTTP/2/HTTPS largement adopté pour réduire la latence. Une vulnérabilité dans le décompresseur Brotli, ou dans la façon dont Adobe Commerce gère les réponses compressées, peut être détournée pour exécuter du code lors du traitement de données malformées. Un attaquant envoie un flux Brotli spécialement construit ; le serveur le décompresse, déclenchant un dépassement de tampon ou une corruption de mémoire qui aboutit à l’injection du shell PolyShell. Cette technique combine un vecteur réseau (trafic HTTP) avec une faille de traitement interne, expliquant la rapidité avec laquelle le trafic malveillant a pu se répandre.
Implications et mesures d'atténuation
Les faits indiquent une compromission massive, ce qui souligne la nécessité d’une défense en profondeur. Premièrement, les administrateurs d’Adobe Commerce doivent appliquer immédiatement les correctifs de sécurité publiés par Adobe, même si le titre ne précise pas de version exacte. Deuxièmement, la désactivation du support Brotli ou la mise à jour du module de compression vers une version corrigée réduit le risque d’exploitation du vecteur décrit. Troisièmement, la surveillance du trafic HTTP pour détecter des flux Brotli anormaux (tailles inhabituelles, fréquences élevées) permet d’identifier rapidement une campagne d’injection. Enfin, l’audit des extensions tierces et la mise en place de listes blanches d’API limitent la surface d’attaque exploitable par le shell PolyShell. En l’absence de détails supplémentaires, ces recommandations reposent sur les seules indications du titre et sur les pratiques standards de sécurisation des plateformes e‑commerce.
