PrestaShop 9.2.1 und 8.2.9: 18 Sicherheitslücken – was du heute tust

Liegt auf deinem Server noch der Ordner install von der Einrichtung deines Shops, kann jeder dein PrestaShop mit einem eigenen Administrator neu installieren und den Shop übernehmen – ganz ohne Konto. Das ist eine der 18 Lücken, die PrestaShop am 9. November mit dem Sicherheitsupdate 9.2.1 und 8.2.9 geschlossen hat; zwei weitere erlauben es, einen begrenzten Gutschein in mehreren Bestellungen gleichzeitig einzulösen, kurz vor Black Friday. Ob du betroffen bist, prüfst du in zwei Minuten.

Was beheben PrestaShop 9.2.1 und 8.2.9?

Sie schließen 18 Sicherheitslücken: PrestaShop stuft 15 davon als hoch und 3 als mittel ein und empfiehlt, so schnell wie möglich zu aktualisieren. Diese können einen Shop am meisten kosten:

• Der Installer, der auf dem Server geblieben ist. Bei der Installation von PrestaShop wird ein Ordner install verwendet, der danach gelöscht werden muss. Liegt er noch da, kann jeder die Installation über deinen Shop erneut starten: das Passwort deiner Datenbank sehen, den Shop lahmlegen oder ihn mit einem eigenen Administrator neu installieren. Über eine zweite Lücke im selben Ordner kann ein Fremder eigene Programme auf deinem Server laufen lassen. Beide haben 8,1 von 10 Punkten, und es braucht kein Konto.
• Gutscheine öfter eingelöst als erlaubt. Ein Kunde, der mehrere Bestellungen gleichzeitig abschickt, kann einen begrenzten Gutschein (einmalig oder für die ersten 100) in allen einlösen, jedes Mal mit vollem Rabatt (7,5 von 10).
• Doppelte Bestellungen. Bei einem Warenkorb, der 0 € kostet, können mehrere gleichzeitige Bestätigungen mehrere Bestellungen aus demselben Warenkorb erzeugen (7,5 von 10).
• Die Dateien deiner Kunden. Wenn du personalisierbare Produkte verkaufst, kann das Foto oder Dokument, das ein Kunde hochlädt, ein Fremder herunterladen, der die Bestellreferenz und den Dateinamen kennt.
• Shops, die mit anderer Software verbunden sind. Hängen dein ERP, ein Marktplatz oder dein Versandtool über den PrestaShop-Webservice am Shop, können mehrere Zugangsschlüssel mehr lesen oder ändern, als du ihnen erlaubt hast, und auch Kundenkonten, wenn du mehrere Shops in einer Installation betreibst.
• Was jemand tun kann, der schon in dein Backoffice kommt. Mehrere Lücken setzen ein Konto im Backoffice voraus, lassen dessen Inhaber aber viel weiter gehen, als du ihm erlaubt hast. Das betrifft dich, wenn Mitarbeiter, eine Agentur oder Freelancer an deinem Shop arbeiten.

Dazu kommen zwei korrigierte offizielle Module. Im DSGVO-Modul (psgdpr 1.4.4) konnte jemand eine Einwilligung im Namen eines anderen Kunden eintragen, und das Einwilligungsprotokoll belegte nicht mehr, wer was akzeptiert hat. Im Newsletter-Modul (ps_emailsubscription 3.0.1) konnte die exportierte Abonnentenliste eine präparierte Adresse enthalten, die die Tabellenkalkulation beim Öffnen als Formel liest.

Ist mein Shop betroffen?

Ja, wenn er nicht schon auf 9.2.1 oder 8.2.9 läuft, den einzigen beiden Versionen mit dem Patch. Für 9.0, 9.1 und 1.7 wird es keine korrigierte Version geben.

• PrestaShop 9.2.0: von allen 18 betroffen. Aktualisiere auf 9.2.1.
• PrestaShop 9.0 oder 9.1: betroffen, und der Patch dafür ist 9.2.1: Du musst auf diese Version gehen.
• PrestaShop 8 (8.0, 8.1 oder 8.2): von 15 betroffen. Aktualisiere auf 8.2.9.
• PrestaShop 1.7 oder älter: bekommt keine Sicherheitsversion, und der Hinweis zum Installer schließt sie ausdrücklich ein: Er nennt jede Version vor 8.2.9.

So findest du deine Version

Öffne im Backoffice deines Shops Erweiterte Einstellungen → Informationen: Dort steht die Version.

Antwortet der install-Ordner deines Shops?

Öffne im Browser die Adresse deines Shops mit /install dahinter (zum Beispiel https://deinshop.de/install) und probiere auch /install-dev. Kommt die «Seite nicht gefunden» deines Shops oder ein Serverfehler, ist alles gut. Erscheint der Installationsassistent von PrestaShop oder irgendetwas anderes, ist dein Shop für die beiden schwersten Lücken angreifbar.

Im April hat die Sicherheitsfirma Sansec mehr als 200 laufende PrestaShop-Shops gefunden, deren Installer für jeden erreichbar war, vor allem in Frankreich, Italien, Polen und Tschechien. Seit 9.2.0 wird der Ordner am Ende der Installation automatisch gelöscht; bei Shops mit 8 und älter musste man ihn von Hand löschen, und das ist nicht immer passiert.

Wie spielst du das Sicherheitsupdate heute ein?

Erst eine Sicherung, dann der install-Ordner, dann das Update. Module und Zugänge kommen zum Schluss:

1. Mach eine vollständige Sicherung (Dateien und Datenbank) und bewahre sie außerhalb des Servers auf.
2. Prüfe, ob der install-Ordner antwortet. Wenn ja, bitte noch heute deinen Entwickler oder Hoster, ihn zu löschen und nachzusehen, ob jemand etwas auf dem Server hinterlassen hat, denn er stand jedem offen.
3. Aktualisiere PrestaShop: auf 9.2.1, wenn du auf 9 bist, auf 8.2.9, wenn du auf 8 bist. Das geht mit dem Modul Update Assistant (früher «1-Click Upgrade»). Hat dein Shop eigene Module oder ein eigenes Theme, teste es vorher an einer Kopie.
4. Aktualisiere die beiden offiziellen Module, DSGVO und Newsletter, unter Module → Modul-Manager. Das geht auch, wenn der Shop noch warten muss.
5. Prüfe, wer in deinen Shop kommt. Lösche Mitarbeiter, die nicht mehr für dich arbeiten, und Webservice-Schlüssel, die du nicht nutzt. Ist keine Software über den Webservice angebunden, schalte ihn unter Erweiterte Einstellungen → Webservice ab.

Den install-Ordner zu löschen schließt die beiden Installer-Lücken, die schwersten. Gutscheine und doppelte Bestellungen behebt nur das Update.

Warum ist das vor dem Black Friday so wichtig?

Weil der Black Friday am 27. November ist und seine Aktionen genau die sind, die diese beiden Lücken ausnutzbar machen: der Code für die ersten 50, der Einmal-Gutschein an deine Liste, das Geschenk zu einer Bestellung, die am Ende nichts kostet. Findet jemand heraus, wie er denselben Code 10-mal einlöst, dann an dem Tag, an dem du die meisten Rabatte gibst und am wenigsten Zeit hast, auf die Bestellungen zu schauen.

Es bleibt noch Zeit, in Ruhe zu aktualisieren. Schaffst du es nicht, prüfe Bestellungen mit Gutschein und solche zu 0 €, bevor du sie verpackst: mehrere Bestellungen desselben Kunden mit demselben Code, fast in derselben Sekunde, sind das Zeichen.

Und wenn mein Shop auf 1.7, 9.0 oder 9.1 läuft?

Bist du auf 9.0 oder 9.1, ist der nächste Schritt 9.2.1. Da du bei PrestaShop 9 bleibst, laufen Theme und Module meist weiter. Prüfe trotzdem, ob jedes 9.2 unterstützt, und teste vorher an einer Kopie.

Bist du auf 1.7, gibt es für deine Version keinen Patch. Den install-Ordner zu löschen schützt dich vor der Installer-Lücke; für den Rest ist der Ausweg der Umstieg auf PrestaShop 9. Es gibt noch einen Grund dafür: 1.7 läuft höchstens mit PHP 7.4, das ebenfalls keine Korrekturen mehr bekommt, wie PHP2Shell vor drei Wochen gezeigt hat. Welche PHP-Version jede PrestaShop-Version unterstützt, steht in welche PHP-Version PrestaShop braucht.

Den ganzen Umstieg von 1.7 auf 9 erklären wir in PrestaShop 1.7 oder 1.6 auf 9 aktualisieren. Und wenn du diese Hinweise nicht selbst verfolgen willst: Mit der PrestaShop-Wartung aktualisieren wir PrestaShop und seine Module selbst, nachdem wir sie getestet haben.

Für dein Technikteam

Offizielle Hinweise: PrestaShop 9.2.1 und PrestaShop 8.2.9. Alle Core-Advisories nennen nur 9.2.1 und 8.2.9 als korrigierte Versionen; kein Patch für 9.0.x, 9.1.x oder 1.7. Drei betreffen nur 9 (Admin API: GHSA-p292-3rh4-vm4p und GHSA-6c2j-pgwm-95m9; Debug-Modus: GHSA-95f5-jc9c-gg3q).

• Installer: GHSA-8rxw-79mh-gmm5 (8,1; betrifft alles vor 8.2.9) und GHSA-h2q4-7fp7-m5jp (8,1). Workaround laut Advisory: install/ (und install-dev/) nach der Installation löschen.
• Gutscheine und Bestellungen über 0 €: GHSA-r246-6gw4-pj3p und GHSA-2676-hc74-gg7v (7,5). Kein Workaround.
• Webservice: GHSA-hjwq-7qvv-qxj4 (CVE-2026-71519), GHSA-3f36-4qv4-vfgh (CVE-2026-71531), GHSA-wrmc-gmx5-9hhc. Workaround: Webservice abschalten, wenn er nicht genutzt wird, und Kundenrechte nur vertrauenswürdigen Integrationen geben.
• Frontoffice ohne Konto: GHSA-fg9q-mm4c-h5xc (Personalisierungsdateien, 5,9) und GHSA-g6p7-cx52-hcrj (Token zum Zurücksetzen des Passworts, 4,8).
• Backoffice: GHSA-99cp-c6mm-p7h5, GHSA-7q68-ch46-pxmc, GHSA-fxq4-2mc8-99pr, GHSA-95w6-v2wq-cv8w, GHSA-5p6p-mx64-96jf, GHSA-mgcf-mrg4-mcxv.
• Module: psgdpr 1.4.4 (GHSA-wwqh-cf9m-347f, CVE-2026-92809) und ps_emailsubscription 3.0.1 (GHSA-pg6j-qf29-gc43). Die Classic-Edition bringt außerdem PrestaShop Checkout 5.5.6 mit.

War der Installer erreichbar, empfiehlt Sansec, den Server nach Hintertüren zu durchsuchen und den Debug-Modus in der Produktion abzuschalten.