Une faille dans Adobe Commerce, le logiciel de boutique en ligne d’Adobe, est notée 9,3 sur 10 par l’organisme déclarant (CNA), selon la fiche NVD. Cette note suit l’échelle CVSS, le barème de gravité commun à l’industrie, en version 3.1. L’exploitation de cette faille est confirmée par la CISA, l’agence américaine de cybersécurité. Si votre site de vente repose sur Adobe Commerce ou Magento, faites appliquer sans attendre les mesures d’Adobe.
C’est quoi ?
Un défaut de la plateforme Adobe Commerce permet de déposer sur le site un fichier dangereux, puis de faire exécuter des instructions avec les droits de la personne connectée.
La vulnérabilité CVE-2026-48356 relève de ce que la fiche NVD appelle un téléversement non restreint de fichier de type dangereux: le site accepte un dépôt sans vérifier suffisamment sa nature. Imaginez la porte de livraison à l’arrière du commerce, restée ouverte comme une porte de garage un soir d’automne: n’importe qui peut y laisser une boîte, et personne ne regarde ce qu’elle contient. Selon la fiche NVD, l’exploitation suppose une interaction de la victime, par exemple la visite d’une adresse web malveillante ou d’une page déjà compromise.
Pourquoi c’est grave ?
Parce que des attaques sont constatées, et qu’un attaquant peut prendre le contrôle du compte d’un utilisateur de votre boutique, ou de sa session, c’est-à-dire sa connexion ouverte.
La CISA a ajouté la vulnérabilité à son catalogue des failles exploitées le 27 octobre 2026: l’exploitation est donc observée. Le Centre canadien pour la cybersécurité la signale dans son avis AV26-697. En termes d’affaires: ventes interrompues, renseignements de clients susceptibles de fuir, et risque de fraude si l’accès obtenu est celui d’un administrateur, soit un compte qui peut tout modifier sur le site. La CISA demande d’appliquer les mesures d’atténuation selon les instructions de l’éditeur et, si aucune n’est disponible, de cesser d’utiliser le produit.
Ça touche qui ?
Les organisations dont le site de vente en ligne tourne sur Adobe Commerce ou Magento, édités par Adobe.
Nous ne disposons pas de la liste des versions touchées ni du numéro de la version corrigée. Ces précisions sont à chercher dans le bulletin de sécurité d’Adobe et dans l’avis canadien AV26-697. Au Québec, la faille concerne les organisations qui vendent en ligne sur cette plateforme: détaillants, grossistes, distributeurs de pièces, manufacturiers. Quand le site a été conçu ou est entretenu par un prestataire externe, c’est par lui que passe la vérification.
Comment vérifier dans mon entreprise ?
Commencez par des appels à votre développeur, à votre hébergeur et à votre fournisseur de logiciel: ce sont les premières vérifications à faire.
- Demander si la boutique utilise Adobe Commerce ou Magento, et quelle version est installée (direction, développeur ou hébergeur).
- Demander à quelle date les mesures recommandées par Adobe ont été appliquées, et obtenir la réponse par écrit (prestataire informatique).
- Faire examiner les journaux du site, soit l’enregistrement automatique des connexions et des actions effectuées sur la boutique, pour repérer toute activité inhabituelle (prestataire informatique ou spécialiste externe).
- Discuter des options de repli, y compris une mise hors service temporaire, si aucune mesure n’est disponible pour votre version (fournisseur du logiciel).
Mise en situation
Exemple fictif : un garage qui vend des pièces en ligne n’a pas fait appliquer la mise à jour.
Un lundi matin, la boutique affiche des erreurs et les commandes de la fin de semaine n’ont pas été transmises à l’atelier. Le prestataire découvre des traces d’accès anormaux et met le site hors ligne le temps de l’analyse. La journée passe en appels: clients à rappeler, rendez-vous de pose décalés. Comme des comptes clients étaient en jeu, la direction doit aussi évaluer si des renseignements personnels ont été touchés.
La faille dans Adobe Commerce et vos obligations au Québec
Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé impose de tenir un registre des incidents de confidentialité. En cas de risque de préjudice sérieux, elle oblige aussi à aviser les personnes concernées et la Commission d’accès à l’information. Ces obligations existent indépendamment de tout incident: les connaître d’avance évite d’improviser sous pression. Disons-le: il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro.
Quoi faire maintenant
- Appliquer les mesures publiées par Adobe, en suivant l’avis AV26-697 du Centre canadien pour la cybersécurité.
- Faire vérifier les journaux et les accès administrateurs du site.
- Préparer une option de repli si aucune mesure ne couvre votre version.
- Consigner les vérifications et leurs dates, pour la direction comme pour le registre des incidents.
FAQ
Notre site est hébergé chez un fournisseur: sommes-nous concernés?
Oui. L’hébergement externe ne retire pas la responsabilité de l’entreprise à l’égard des renseignements de ses clients. Posez la question par écrit: version installée, mesures appliquées, date. Un fournisseur incapable de répondre clairement est déjà une information utile.
Nous sommes une petite entreprise, est-ce vraiment pour nous?
Oui. L’inscription au catalogue de la CISA indique que des attaques sont déjà observées. Nous n’avons pas d’information sur l’ampleur de cette exploitation ni sur les organisations visées: la petite taille d’un commerce n’est pas une protection.
Et si aucune mesure n’existe pour notre version?
La CISA demande alors de cesser d’utiliser le produit. Concrètement, cela peut signifier mettre la boutique hors ligne le temps d’une migration vers une version soutenue, c’est-à-dire une version que l’éditeur corrige encore. La prise de commande peut alors se faire par téléphone ou par courriel. Mieux vaut une interruption choisie qu’une interruption subie.
Sources
- Fiche CVE-2026-48356 de la National Vulnerability Database · NIST, 14 juillet 2026
- CISA, Known Exploited Vulnerabilities Catalog · CISA, ajout le 27 octobre 2026
- Centre canadien pour la cybersécurité : Bulletin de sécurité Adobe (AV26-697) – Mise à jour 1 · Centre canadien pour la cybersécurité, 27 octobre 2026
- Avis de sécurité (helpx.adobe.com) · helpx.adobe.com
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-48356
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
