Magento SessionReaper (CVE-2025-54236) : ma boutique est-elle affectée et comment la corriger ?

De quoi s’agit-il

• Le bulletin APSB25-88 d’Adobe (9 septembre 2025) décrit un défaut critique de validation des entrées (CWE-20) menant à un contournement de fonction de sécurité, CVSS 3.1 de 9.1, sans authentification ni droits administrateur.
• Selon l’article de support d’Adobe, un attaquant pourrait prendre le contrôle de comptes clients via l’API REST de Commerce.
• Sansec, qui a baptisé la faille SessionReaper, rapporte qu’elle peut mener dans certaines configurations à une exécution de code à distance sans authentification. C’est la conclusion de Sansec, pas du bulletin Adobe.
• Le 22 octobre 2025, Adobe a ajouté avoir connaissance d’une exploitation active, puis a relevé la priorité à 1 le 24 octobre 2025.

Versions affectées

Comment corriger

• Appliquez le hotfix isolé VULN-32437-2-4-X-patch (sur repo.magento.com) selon les instructions d’Adobe pour les patchs composer, ou passez à une version de sécurité plus récente de votre ligne.
• Si magento/out-of-process-custom-attributes est installé, mettez-le à jour comme l’indique Adobe (composer require magento/out-of-process-custom-attributes=0.4.0 --with-dependencies), puis appliquez le hotfix.
• Adobe Commerce sur infrastructure cloud a reçu des règles WAF d’Adobe, mais le hotfix reste obligatoire.
• Adobe signalant une exploitation active, vérifiez ensuite les comptes clients et le serveur à la recherche de compromission.

Vérifier votre boutique

Commandes en lecture seule. Comparez la version avec le tableau ; sur Adobe Commerce cloud, le patch doit apparaître comme Applied.

# Which Magento / Adobe Commerce version is installed? (read-only)
bin/magento --version
composer show magento/product-community-edition magento/product-enterprise-edition 2>/dev/null | grep -E '^(name|versions)'

# Is the Custom Attributes Serializable module installed, and which version?
composer show magento/out-of-process-custom-attributes 2>/dev/null | grep versions

# Adobe Commerce on cloud / with Quality Patches Tool: patch status
vendor/bin/magento-patches -n status | grep -E '32437|Status'

Et le PHP en dessous

Magento tourne sur PHP, qui a ses propres failles PHP2Shell d’octobre 2026. Vérifiez PHP séparément sur la page produit Magento et les pages par version de PHP.