PrestaShop 9.2.1 a 8.2.9: 18 bezpečnostních chyb, co udělat ještě dnes

Pokud na vašem serveru zůstala složka install z doby, kdy se e-shop zakládal, může kdokoli přeinstalovat váš PrestaShop s vlastním administrátorem a e-shop převzít, a to bez jakéhokoli účtu. Je to jedna z 18 chyb, které 9. listopadu opravila aktualizace PrestaShop 9.2.1 a 8.2.9; další dvě umožňují použít omezený slevový kupón na několik objednávek najednou, těsně před Black Friday. Zjistit, jestli se vás to týká, zabere dvě minuty.

Co opravují PrestaShop 9.2.1 a 8.2.9?

Opravují 18 bezpečnostních chyb: PrestaShop z nich 15 hodnotí jako vysoce závažné a 3 jako středně závažné a doporučuje aktualizovat co nejdřív. Nejdražší můžou být pro e-shop tyhle:

• Instalátor, který zůstal na serveru. Při instalaci PrestaShopu se používá složka install, kterou je potom potřeba smazat. Pokud tam pořád je, může kdokoli znovu spustit instalaci nad vaším e-shopem: zjistit heslo k databázi, vyřadit e-shop z provozu nebo ho přeinstalovat s vlastním administrátorem. Druhá chyba ve stejné složce dovoluje cizímu člověku spouštět na vašem serveru vlastní programy. Obě mají hodnocení 8,1 z 10 a nepotřebují žádný účet.
• Slevové kupóny použité víckrát, než dovolíte. Zákazník, který potvrdí několik objednávek současně, může omezený kupón (jednorázový nebo pro prvních 100) použít ve všech, pokaždé s plnou slevou (7,5 z 10).
• Zdvojené objednávky. U košíku za 0 Kč může několik současných potvrzení vytvořit několik objednávek ze stejného košíku (7,5 z 10).
• Soubory vašich zákazníků. Pokud prodáváte personalizovatelné zboží, fotku nebo dokument, který zákazník nahraje, si může stáhnout cizí člověk, který zná číslo objednávky a název souboru.
• E-shopy propojené s jinými programy. Pokud se váš ERP, marketplace nebo program na dopravu připojuje k e-shopu přes webservice PrestaShopu, několik přístupových klíčů může číst nebo měnit víc, než jste jim dali, včetně zákaznických účtů, pokud máte v jedné instalaci víc e-shopů.
• Co může udělat ten, kdo už se dostane do administrace. Několik chyb vyžaduje účet v administraci, ale tomu, kdo ho má, dovolí zajít mnohem dál, než jste mu povolili. Týká se vás to, pokud na e-shopu pracují zaměstnanci, agentura nebo freelanceři.

Opravené jsou i dva oficiální moduly. V modulu GDPR (psgdpr 1.4.4) mohl někdo zapsat souhlas jménem jiného zákazníka a záznam souhlasů pak nedokazoval, kdo s čím souhlasil. V modulu newsletteru (ps_emailsubscription 3.0.1) mohl exportovaný seznam odběratelů obsahovat upravenou adresu, kterou tabulkový procesor při otevření vezme jako vzorec.

Týká se to mého e-shopu?

Ano, pokud ještě nemáte 9.2.1 nebo 8.2.9, jediné dvě verze s opravou. Pro 9.0, 9.1 ani 1.7 opravená verze nebude.

• PrestaShop 9.2.0: týká se ho všech 18. Aktualizujte na 9.2.1.
• PrestaShop 9.0 nebo 9.1: týká se ho to a jeho opravou je 9.2.1: je potřeba na ni přejít.
• PrestaShop 8 (8.0, 8.1 nebo 8.2): týká se ho 15. Aktualizujte na 8.2.9.
• PrestaShop 1.7 nebo starší: bezpečnostní verzi nedostane a upozornění k instalátoru ho výslovně zahrnuje: mluví o každé verzi starší než 8.2.9.

Jak zjistit, jakou máte verzi

V administraci e-shopu otevřete Nástroje → Informace: tam je číslo verze.

Odpovídá složka install vašeho e-shopu?

Otevřete v prohlížeči adresu svého e-shopu s /install na konci (například https://vaseshop.cz/install) a zkuste i /install-dev. Pokud uvidíte stránku „nenalezeno“ svého e-shopu nebo chybu serveru, je to v pořádku. Pokud se objeví průvodce instalací PrestaShopu nebo cokoli jiného, je váš e-shop vystavený dvěma nejzávažnějším chybám.

V dubnu bezpečnostní firma Sansec našla přes 200 běžících e-shopů na PrestaShopu s instalátorem dostupným komukoli, hlavně ve Francii, Itálii, Polsku a Česku. Od verze 9.2.0 se složka na konci instalace smaže sama; u e-shopů na 8 a starších se musela smazat ručně, a ne vždy se to udělalo.

Jak aktualizovat PrestaShop ještě dnes?

Nejdřív záloha, pak složka install, pak aktualizace. Moduly a přístupy přijdou na řadu nakonec:

1. Udělejte úplnou zálohu (soubory i databáze) a uložte ji mimo server.
2. Zkontrolujte, jestli složka install odpovídá. Pokud ano, požádejte ještě dnes svého technika nebo hosting, aby ji smazal a prověřil, jestli na serveru někdo něco nenechal, protože byla otevřená komukoli.
3. Aktualizujte PrestaShop: na 9.2.1, pokud máte 9, na 8.2.9, pokud máte 8. Dělá se to modulem Update Assistant (dříve „1-Click Upgrade“). Pokud má e-shop moduly nebo šablonu na míru, vyzkoušejte to nejdřív na kopii.
4. Aktualizujte dva oficiální moduly, GDPR a newsletter, v Moduly → Správce modulů. Jde to, i když e-shop musí počkat.
5. Projděte, kdo má do e-shopu přístup. Smažte zaměstnance, kteří už s vámi nepracují, a nepoužívané klíče webservice. Pokud přes webservice nemáte napojený žádný program, vypněte ho v Nástroje → Webservice.

Smazání složky install uzavře dvě chyby instalátoru, ty nejzávažnější. Kupóny a zdvojené objednávky opraví jen aktualizace.

Proč je to tak důležité před Black Friday?

Protože Black Friday připadá na 27. listopadu a jeho akce jsou přesně ty, které tyhle dvě chyby umožňují zneužít: kód pro prvních 50, jednorázový kupón poslaný vašemu seznamu, dárek k objednávce, která vyjde zdarma. Pokud někdo přijde na to, jak použít stejný kód 10krát, udělá to v den, kdy dáváte největší slevy a máte nejméně času na kontrolu objednávek.

Pořád je čas aktualizovat v klidu. Pokud to nestihnete, kontrolujte objednávky s kupónem a objednávky za 0 Kč dřív, než je zabalíte: několik objednávek od stejného zákazníka se stejným kódem, skoro ve stejné vteřině, je znamení.

A co když mám 1.7, 9.0 nebo 9.1?

Pokud máte 9.0 nebo 9.1, dalším krokem je 9.2.1. Zůstáváte v rámci PrestaShopu 9, takže šablona a moduly obvykle fungují dál. Přesto ověřte, že každý podporuje 9.2, a vyzkoušejte to nejdřív na kopii.

Pokud máte 1.7, pro vaši verzi oprava není. Smazání složky install vás chrání před chybou instalátoru; pro zbytek je cestou ven přechod na PrestaShop 9. Je tu ještě jeden důvod: 1.7 běží nanejvýš s PHP 7.4, které už opravy taky nedostává, jak ukázal PHP2Shell před třemi týdny. Jaké PHP podporuje která verze PrestaShopu, najdete v článku jakou verzi PHP potřebuje PrestaShop.

Celý přechod z 1.7 na 9 popisujeme v článku přechod z PrestaShopu 1.7 nebo 1.6 na 9. A pokud nechcete tahle upozornění sledovat sami, v rámci údržby PrestaShopu aktualizujeme PrestaShop i jeho moduly sami, a to po vyzkoušení.

Pro váš technický tým

Oficiální oznámení: PrestaShop 9.2.1 a PrestaShop 8.2.9. Všechna upozornění k jádru uvádějí jako opravené jen 9.2.1 a 8.2.9; žádná oprava pro 9.0.x, 9.1.x ani 1.7. Tři se týkají jen verze 9 (Admin API: GHSA-p292-3rh4-vm4p a GHSA-6c2j-pgwm-95m9; ladicí režim: GHSA-95f5-jc9c-gg3q).

• Instalátor: GHSA-8rxw-79mh-gmm5 (8,1; týká se všeho před 8.2.9) a GHSA-h2q4-7fp7-m5jp (8,1). Náhradní opatření podle upozornění: po instalaci smazat install/ (a install-dev/).
• Kupóny a objednávky za 0: GHSA-r246-6gw4-pj3p a GHSA-2676-hc74-gg7v (7,5). Bez náhradního opatření.
• Webservice: GHSA-hjwq-7qvv-qxj4 (CVE-2026-71519), GHSA-3f36-4qv4-vfgh (CVE-2026-71531), GHSA-wrmc-gmx5-9hhc. Náhradní opatření: webservice vypnout, pokud se nepoužívá, a oprávnění k zákazníkům dávat jen důvěryhodným integracím.
• Front bez účtu: GHSA-fg9q-mm4c-h5xc (soubory personalizace, 5,9) a GHSA-g6p7-cx52-hcrj (token pro obnovu hesla, 4,8).
• Administrace: GHSA-99cp-c6mm-p7h5, GHSA-7q68-ch46-pxmc, GHSA-fxq4-2mc8-99pr, GHSA-95w6-v2wq-cv8w, GHSA-5p6p-mx64-96jf, GHSA-mgcf-mrg4-mcxv.
• Moduly: psgdpr 1.4.4 (GHSA-wwqh-cf9m-347f, CVE-2026-92809) a ps_emailsubscription 3.0.1 (GHSA-pg6j-qf29-gc43). Edice Classic navíc obsahuje PrestaShop Checkout 5.5.6.

Pokud byl instalátor dostupný, Sansec doporučuje prohledat server kvůli zadním vrátkům a vypnout ladicí režim v produkci.