SessionReaper : la faille Magento exploitée, que faire

Le 9 septembre 2025, Adobe a publié le bulletin de sécurité APSB25-88 pour Magento et Adobe Commerce. Il corrige CVE-2025-54236, une faille rapidement surnommée SessionReaper par les chercheurs en sécurité. Notée 9,1 sur 10, elle permet à un attaquant de prendre le contrôle de sessions sur la boutique, sans identifiant et sans que la victime ait à faire quoi que ce soit. Adobe a reconnu son exploitation le 22 octobre 2025, et l'agence américaine de cybersécurité (CISA) l'a inscrite à son catalogue des failles activement exploitées le 24 octobre 2025. Si votre boutique en ligne tourne sous Magento, ce point mérite une vérification, même un an plus tard : beaucoup de boutiques ne sont jamais mises à jour.

#1. Ce qui se passe, en quatre points

• La nature de la faille : Adobe la décrit comme un défaut de validation des données reçues, qui permet de s'emparer d'une session. L'impact sur la confidentialité et l'intégrité est jugé élevé.
• Sans condition : pas de compte, pas d'action de la victime.
• Les versions touchées : Adobe Commerce et Magento Open Source 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 et toutes les versions antérieures de ces branches.
• Exploitée : confirmée par Adobe le 22 octobre 2025, inscrite au catalogue KEV de la CISA le 24 octobre 2025.

#2. Le correctif

Adobe a publié un correctif isolé, référencé VULN-32437, pour les branches 2.4.4 à 2.4.7, à appliquer sans attendre la version suivante. Les versions de sécurité publiées ensuite par Adobe intègrent la correction : vérifiez dans la note de version de votre branche qu'elle mentionne CVE-2025-54236.

Si votre boutique utilise des modules ou des connecteurs sur mesure, faites tester la mise à jour sur une copie avant la production : un correctif touchant l'API peut modifier leur comportement.

#3. Comment savoir si je suis concerné

Depuis l'extérieur, c'est impossible. Une boutique Magento ne publie au mieux que sa version mineure (« 2.4 »), jamais son niveau de correctif (« -p2 », « -p7 ») ni les correctifs isolés installés. Or tout se joue à ce niveau. Notre scanner de vulnérabilité reconnaît une boutique Magento et vous indique « à contrôler sur le serveur » : il n'affichera jamais un faux « à jour ».

Sur le serveur, la version exacte se lit avec :

bin/magento --version

Pour savoir si le correctif VULN-32437 est appliqué, demandez à votre prestataire la liste des correctifs installés, ou vérifiez l'historique des déploiements.

#4. Que faire maintenant

1. Sauvegardez la boutique (fichiers et base de données).
2. Appliquez le correctif VULN-32437 ou passez à une version de sécurité qui l'intègre, d'abord sur une copie de test.
3. Déconnectez toutes les sessions en vidant le stockage des sessions, puis changez les mots de passe des comptes administrateur.
4. Vérifiez les signes de compromission ci-dessous si la boutique est restée exposée après octobre 2025.

#Chercher des signes de compromission

• des comptes administrateur inconnus ou des droits modifiés ;
• du code ajouté aux pages de paiement ou aux modèles de page (un vol de cartes bancaires passe souvent par un script injecté) ;
• des fichiers PHP récents dans les dossiers pub/media ou var ;
• des commandes, coupons ou adresses modifiés sans raison ;
• des plaintes de clients pour des paiements frauduleux après un achat sur votre site.

Si des données de clients ont pu être exposées, le RGPD impose de notifier la CNIL dans les 72 heures suivant la découverte.

#5. Comment M-KIS peut vous aider

Si votre boutique a pu être compromise, notre offre de secours de site piraté propose un diagnostic gratuit, le nettoyage et la remise en ligne sécurisée. Pour aller plus loin sur la démarche, notre guide de récupération d'un site piraté détaille chaque étape. Pour toute question, écrivez-nous : nous répondons rapidement par mail.

Sources : bulletin de sécurité Adobe APSB25-88 du 9 septembre 2025, base NVD (CVE-2025-54236), catalogue KEV de la CISA (ajout du 24 octobre 2025).