PrestaShop 9.2.1 et 8.2.9 : 18 failles corrigées, que faire aujourd’hui

Si le dossier install de l'installation de votre boutique est encore sur votre serveur, n'importe qui peut réinstaller votre PrestaShop avec son propre administrateur et s'emparer de la boutique, sans même avoir de compte. C'est l'une des 18 failles PrestaShop corrigées le 9 novembre par les versions 9.2.1 et 8.2.9 ; deux autres permettent d'utiliser un bon de réduction limité sur plusieurs commandes à la fois, juste avant le Black Friday. Savoir si vous êtes touché prend deux minutes.

Que corrigent PrestaShop 9.2.1 et 8.2.9 ?

Elles corrigent 18 failles de sécurité : PrestaShop en classe 15 en gravité élevée et 3 en gravité moyenne, et recommande de mettre à jour au plus vite. Voici celles qui peuvent coûter le plus cher à une boutique :

• L'installeur resté sur le serveur. L'installation de PrestaShop utilise un dossier install qu'il faut supprimer ensuite. S'il est toujours là, n'importe qui peut relancer l'installation sur votre boutique : voir le mot de passe de votre base de données, mettre la boutique hors service ou la réinstaller avec son propre administrateur. Une deuxième faille dans ce même dossier permet à un inconnu de faire tourner ses propres programmes sur votre serveur. Les deux sont notées 8,1 sur 10 et ne demandent aucun compte.
• Des bons de réduction utilisés plus souvent que prévu. Un client qui valide plusieurs commandes en même temps peut utiliser sur toutes un bon limité (à usage unique, ou réservé aux 100 premiers) et obtenir la réduction complète sur chacune (7,5 sur 10).
• Des commandes en double. Avec un panier à 0 €, plusieurs validations simultanées peuvent créer plusieurs commandes à partir du même panier (7,5 sur 10).
• Les fichiers de vos clients. Si vous vendez des produits personnalisables, la photo ou le document envoyé par un client peut être téléchargé par un inconnu qui connaît la référence de la commande et le nom du fichier.
• Les boutiques reliées à d'autres logiciels. Si votre ERP, une marketplace ou votre outil d'expédition se connecte à la boutique par le webservice de PrestaShop, plusieurs clés d'accès peuvent lire ou modifier plus que ce que vous leur avez donné, y compris les comptes clients si vous avez plusieurs boutiques sur la même installation.
• Ce que peut faire quelqu'un qui entre déjà dans votre back-office. Plusieurs failles demandent un compte dans le back-office, mais elles permettent à celui qui l'a d'aller bien plus loin que ce que vous lui avez autorisé. C'est votre cas si des employés, une agence ou des freelances travaillent sur votre boutique.

Deux modules officiels sont aussi corrigés. Dans celui du RGPD (psgdpr 1.4.4), quelqu'un pouvait inscrire un consentement au nom d'un autre client, et le registre ne prouvait plus qui avait accepté quoi. Dans celui de la newsletter (ps_emailsubscription 3.0.1), la liste d'abonnés que vous exportez pouvait contenir une adresse piégée que le tableur prend pour une formule à l'ouverture.

Ma boutique est-elle touchée ?

Oui, si elle n'est pas déjà en 9.2.1 ou en 8.2.9, les deux seules versions qui apportent le correctif. Il n'y aura pas de version corrigée pour 9.0, 9.1 ni 1.7.

• PrestaShop 9.2.0 : touchée par les 18. Passez en 9.2.1.
• PrestaShop 9.0 ou 9.1 : touchée, et son correctif, c'est la 9.2.1 : il faut y monter.
• PrestaShop 8 (8.0, 8.1 ou 8.2) : touchée par 15. Passez en 8.2.9.
• PrestaShop 1.7 ou antérieure : aucune version de sécurité, et l'avis sur l'installeur l'inclut explicitement : il vise toute version antérieure à la 8.2.9.

Comment connaître votre version

Dans le back-office de votre boutique, ouvrez Paramètres avancés → Informations : la version s'affiche là.

Le dossier install de votre boutique répond-il ?

Ouvrez dans le navigateur l'adresse de votre boutique suivie de /install (par exemple https://votreboutique.fr/install) et essayez aussi /install-dev. Si vous tombez sur la page « introuvable » de votre boutique ou sur une erreur du serveur, c'est bon. Si l'assistant d'installation de PrestaShop s'affiche, ou quoi que ce soit d'autre, votre boutique est exposée aux deux failles les plus graves.

En avril, la société de sécurité Sansec a trouvé plus de 200 boutiques PrestaShop en ligne avec l'installeur accessible à tous, surtout en France, en Italie, en Pologne et en République tchèque. Depuis la 9.2.0, le dossier est supprimé automatiquement à la fin de l'installation ; sur les boutiques en 8 et avant, il fallait le supprimer à la main, et ce n'a pas toujours été fait.

Comment mettre à jour PrestaShop dès aujourd'hui ?

D'abord une sauvegarde, puis le dossier install, puis la mise à jour. Les modules et les accès viennent ensuite :

1. Faites une sauvegarde complète (fichiers et base de données) et gardez-la hors du serveur.
2. Vérifiez si le dossier install répond. S'il répond, demandez dès aujourd'hui à votre prestataire ou à votre hébergeur de le supprimer et de vérifier que personne n'a rien laissé sur le serveur, puisqu'il a été ouvert à tous.
3. Mettez PrestaShop à jour : en 9.2.1 si vous êtes en 9, en 8.2.9 si vous êtes en 8. Cela se fait avec le module Update Assistant (anciennement « 1-Click Upgrade »). Si votre boutique a des modules ou un thème sur mesure, testez d'abord sur une copie.
4. Mettez à jour les deux modules officiels, RGPD et newsletter, depuis Modules → Gestionnaire de modules. C'est possible même si la boutique doit attendre.
5. Faites le point sur qui entre dans votre boutique. Supprimez les employés qui ne travaillent plus avec vous et les clés de webservice inutilisées. Si aucun logiciel n'est connecté par webservice, désactivez-le dans Paramètres avancés → Webservice.

Supprimer le dossier install ferme les deux failles de l'installeur, les plus graves. Les bons de réduction et les commandes en double ne se corrigent qu'en mettant à jour.

Pourquoi c'est si important avant le Black Friday ?

Parce que le Black Friday tombe le 27 novembre et que ses promotions sont justement celles que ces deux failles permettent d'abuser : le code pour les 50 premiers, le bon à usage unique envoyé à votre liste, le cadeau avec une commande qui revient à zéro. Si quelqu'un trouve le moyen d'utiliser 10 fois le même code, il le fera le jour où vous donnez le plus de remises et où vous avez le moins de temps pour regarder les commandes.

Il reste le temps de mettre à jour au calme. Si vous n'y arrivez pas, contrôlez les commandes avec un bon de réduction et celles à 0 € avant de les préparer : plusieurs commandes du même client avec le même code, presque à la même seconde, c'est le signe.

Et si ma boutique est en 1.7, 9.0 ou 9.1 ?

Si vous êtes en 9.0 ou 9.1, l'étape, c'est la 9.2.1. Comme vous restez dans PrestaShop 9, le thème et les modules continuent généralement de fonctionner. Vérifiez quand même que chacun accepte la 9.2 et testez d'abord sur une copie.

Si vous êtes en 1.7, il n'y a pas de correctif pour votre version. Supprimer le dossier install vous protège de la faille de l'installeur ; pour le reste, la sortie, c'est de passer à PrestaShop 9. Il y a une autre raison de le faire : la 1.7 tourne au mieux avec PHP 7.4, qui ne reçoit plus de correctifs non plus, comme on l'a vu avec PHP2Shell il y a trois semaines. Quelle version de PHP accepte chaque version de PrestaShop, vous le trouvez dans quelle version de PHP pour PrestaShop.

Le passage de 1.7 à 9 est expliqué en entier dans mettre à jour PrestaShop 1.7 ou 1.6 vers 9. Et si vous préférez ne pas surveiller ces avis, avec le contrat de maintenance PrestaShop nous mettons à jour PrestaShop et ses modules nous-mêmes, après les avoir testés.

Pour votre équipe technique

Notes officielles : PrestaShop 9.2.1 et PrestaShop 8.2.9. Tous les avis du cœur ne donnent comme versions corrigées que 9.2.1 et 8.2.9 ; pas de correctif pour 9.0.x, 9.1.x ni 1.7. Trois ne concernent que la 9 (Admin API : GHSA-p292-3rh4-vm4p et GHSA-6c2j-pgwm-95m9 ; mode debug : GHSA-95f5-jc9c-gg3q).

• Installeur : GHSA-8rxw-79mh-gmm5 (8,1 ; touche tout ce qui précède la 8.2.9) et GHSA-h2q4-7fp7-m5jp (8,1). Contournement de l'avis : supprimer install/ (et install-dev/) après l'installation.
• Bons de réduction et commandes à 0 € : GHSA-r246-6gw4-pj3p et GHSA-2676-hc74-gg7v (7,5). Pas de contournement.
• Webservice : GHSA-hjwq-7qvv-qxj4 (CVE-2026-71519), GHSA-3f36-4qv4-vfgh (CVE-2026-71531), GHSA-wrmc-gmx5-9hhc. Contournement : désactiver le webservice s'il ne sert pas et ne donner les droits clients qu'aux intégrations de confiance.
• Front sans compte : GHSA-fg9q-mm4c-h5xc (fichiers de personnalisation, 5,9) et GHSA-g6p7-cx52-hcrj (jeton de réinitialisation du mot de passe, 4,8).
• Back-office : GHSA-99cp-c6mm-p7h5, GHSA-7q68-ch46-pxmc, GHSA-fxq4-2mc8-99pr, GHSA-95w6-v2wq-cv8w, GHSA-5p6p-mx64-96jf, GHSA-mgcf-mrg4-mcxv.
• Modules : psgdpr 1.4.4 (GHSA-wwqh-cf9m-347f, CVE-2026-92809) et ps_emailsubscription 3.0.1 (GHSA-pg6j-qf29-gc43). L'édition Classic embarque aussi PrestaShop Checkout 5.5.6.

Si l'installeur était accessible, Sansec recommande de chercher des portes dérobées sur le serveur et de désactiver le mode debug en production.