PrestaShop 9.2.1 e 8.2.9: 18 falle di sicurezza, cosa fare oggi

Se sul tuo server c'è ancora la cartella install di quando è stato creato il negozio, chiunque può reinstallare il tuo PrestaShop con un amministratore suo e prendersi il negozio, senza nemmeno un account. È una delle 18 falle che PrestaShop ha corretto il 9 novembre con l'aggiornamento alle versioni 9.2.1 e 8.2.9; altre due permettono di usare un buono sconto limitato su più ordini insieme, proprio prima del Black Friday. Capire se ti riguarda richiede due minuti.

Cosa correggono PrestaShop 9.2.1 e 8.2.9?

Correggono 18 falle di sicurezza: PrestaShop ne classifica 15 di gravità alta e 3 di gravità media, e consiglia di aggiornare il prima possibile. Queste sono quelle che possono costare di più a un negozio:

• L'installer rimasto sul server. Per installare PrestaShop si usa una cartella install che poi va cancellata. Se è ancora lì, chiunque può rilanciare l'installazione sul tuo negozio: vedere la password del database, mandare il negozio fuori uso o reinstallarlo con un amministratore suo. Una seconda falla nella stessa cartella permette a uno sconosciuto di far girare i suoi programmi sul tuo server. Entrambe hanno un punteggio di 8,1 su 10 e non serve nessun account.
• Buoni sconto usati più volte del consentito. Un cliente che conferma più ordini nello stesso momento può usare su tutti un buono limitato (monouso, o per i primi 100) e avere lo sconto pieno su ciascuno (7,5 su 10).
• Ordini duplicati. Con un carrello a 0 €, più conferme simultanee possono creare più ordini dallo stesso carrello (7,5 su 10).
• I file dei tuoi clienti. Se vendi prodotti personalizzabili, la foto o il documento caricato da un cliente può scaricarlo uno sconosciuto che conosca il riferimento dell'ordine e il nome del file.
• Negozi collegati ad altri programmi. Se il tuo gestionale, un marketplace o il tuo programma di spedizioni si collega al negozio tramite il webservice di PrestaShop, diverse chiavi di accesso possono leggere o modificare più di quanto gli hai dato, compresi gli account dei clienti se hai più negozi sulla stessa installazione.
• Cosa può fare chi entra già nel tuo pannello. Diverse falle richiedono un account nel back office, ma permettono a chi ce l'ha di andare molto oltre quello che gli hai concesso. È il tuo caso se sul negozio lavorano dipendenti, un'agenzia o freelance.

Escono corretti anche due moduli ufficiali. In quello del GDPR (psgdpr 1.4.4) qualcuno poteva registrare un consenso a nome di un altro cliente, e il registro dei consensi non provava più chi aveva accettato cosa. In quello della newsletter (ps_emailsubscription 3.0.1) l'elenco degli iscritti che esporti poteva contenere un indirizzo truccato che il foglio di calcolo prende per una formula quando lo apri.

Il mio negozio è coinvolto?

Sì, se non è già sulla 9.2.1 o sulla 8.2.9, le uniche due versioni con la correzione. Non ci sarà una versione corretta per 9.0, 9.1 né 1.7.

• PrestaShop 9.2.0: coinvolto da tutte e 18. Aggiorna alla 9.2.1.
• PrestaShop 9.0 o 9.1: coinvolto, e la sua correzione è la 9.2.1: bisogna salire lì.
• PrestaShop 8 (8.0, 8.1 o 8.2): coinvolto da 15. Aggiorna alla 8.2.9.
• PrestaShop 1.7 o precedente: non riceve nessuna versione di sicurezza, e l'avviso sull'installer la include espressamente: parla di qualsiasi versione precedente alla 8.2.9.

Come sapere che versione hai

Nel back office del negozio, apri Parametri Avanzati → Informazioni: la versione è lì.

La cartella install del tuo negozio risponde?

Apri nel browser l'indirizzo del tuo negozio seguito da /install (per esempio https://iltuonegozio.it/install) e prova anche con /install-dev. Se vedi la pagina «non trovata» del negozio o un errore del server, bene. Se compare la procedura di installazione di PrestaShop, o qualsiasi altra cosa, il tuo negozio è esposto alle due falle più gravi.

Ad aprile la società di sicurezza Sansec ha trovato più di 200 negozi PrestaShop attivi con l'installer accessibile a chiunque, soprattutto in Francia, Italia, Polonia e Repubblica Ceca. Dalla 9.2.0 la cartella si cancella da sola alla fine dell'installazione; nei negozi 8 e precedenti andava cancellata a mano, e non sempre è stato fatto.

Come aggiornare PrestaShop oggi?

Prima una copia, poi la cartella install, poi l'aggiornamento. Moduli e accessi vengono alla fine:

1. Fai una copia completa (file e database) e conservala fuori dal server.
2. Controlla se la cartella install risponde. Se risponde, chiedi oggi stesso al tuo tecnico o al tuo hosting di cancellarla e di verificare che nessuno abbia lasciato qualcosa sul server, perché è stata aperta a chiunque.
3. Aggiorna PrestaShop: alla 9.2.1 se sei sulla 9, alla 8.2.9 se sei sulla 8. Si fa con il modulo Update Assistant (prima «1-Click Upgrade»). Se il negozio ha moduli o tema su misura, provalo prima su una copia.
4. Aggiorna i due moduli ufficiali, GDPR e newsletter, da Moduli → Gestione moduli. Puoi farlo anche se il negozio deve aspettare.
5. Controlla chi entra nel tuo negozio. Elimina i dipendenti che non lavorano più con te e le chiavi del webservice che non usi. Se non hai nessun programma collegato via webservice, disattivalo in Parametri Avanzati → Webservice.

Cancellare la cartella install chiude le due falle dell'installer, le più gravi. Buoni sconto e ordini duplicati si correggono solo aggiornando.

Perché conta così tanto prima del Black Friday?

Perché il Black Friday è il 27 novembre e le sue promozioni sono proprio quelle che queste due falle permettono di sfruttare: il codice per i primi 50, il buono monouso che mandi alla tua lista, il regalo con un ordine che risulta gratis. Se qualcuno trova il modo di usare lo stesso codice 10 volte, lo farà il giorno in cui fai più sconti e hai meno tempo per guardare gli ordini.

C'è ancora margine per aggiornare con calma. Se non ci arrivi, controlla gli ordini con buono sconto e quelli da 0 € prima di prepararli: più ordini dello stesso cliente con lo stesso codice, quasi nello stesso secondo, sono il segnale.

E se il mio negozio è 1.7, 9.0 o 9.1?

Se sei sulla 9.0 o 9.1, il passo è alla 9.2.1. Restando dentro PrestaShop 9, tema e moduli di solito continuano a funzionare. Verifica comunque che ognuno supporti la 9.2 e prova prima su una copia.

Se sei sulla 1.7, non c'è correzione per la tua versione. Cancellare la cartella install ti protegge dalla falla dell'installer; per il resto, la via d'uscita è passare a PrestaShop 9. C'è un altro motivo per farlo: la 1.7 funziona al massimo con PHP 7.4, che a sua volta non riceve più correzioni, come si è visto con PHP2Shell tre settimane fa. Quale PHP supporta ogni versione lo trovi in quale versione di PHP serve a PrestaShop.

Il passaggio da 1.7 a 9 è raccontato per intero in aggiornare PrestaShop 1.7 o 1.6 alla 9. E se preferisci non stare dietro a questi avvisi, con la manutenzione PrestaShop aggiorniamo noi PrestaShop e i suoi moduli dopo averli provati.

Per il tuo team tecnico

Note ufficiali: PrestaShop 9.2.1 e PrestaShop 8.2.9. Tutti gli avvisi del core indicano come versioni corrette solo 9.2.1 e 8.2.9; nessuna patch per 9.0.x, 9.1.x né 1.7. Tre riguardano solo la 9 (Admin API: GHSA-p292-3rh4-vm4p e GHSA-6c2j-pgwm-95m9; modalità debug: GHSA-95f5-jc9c-gg3q).

• Installer: GHSA-8rxw-79mh-gmm5 (8,1; riguarda tutto ciò che precede la 8.2.9) e GHSA-h2q4-7fp7-m5jp (8,1). Soluzione alternativa dell'avviso: cancellare install/ (e install-dev/) dopo l'installazione.
• Buoni sconto e ordini da 0 €: GHSA-r246-6gw4-pj3p e GHSA-2676-hc74-gg7v (7,5). Nessuna soluzione alternativa.
• Webservice: GHSA-hjwq-7qvv-qxj4 (CVE-2026-71519), GHSA-3f36-4qv4-vfgh (CVE-2026-71531), GHSA-wrmc-gmx5-9hhc. Soluzione alternativa: disattivare il webservice se non serve e dare i permessi sui clienti solo a integrazioni fidate.
• Front office senza account: GHSA-fg9q-mm4c-h5xc (file di personalizzazione, 5,9) e GHSA-g6p7-cx52-hcrj (token di reimpostazione password, 4,8).
• Back office: GHSA-99cp-c6mm-p7h5, GHSA-7q68-ch46-pxmc, GHSA-fxq4-2mc8-99pr, GHSA-95w6-v2wq-cv8w, GHSA-5p6p-mx64-96jf, GHSA-mgcf-mrg4-mcxv.
• Moduli: psgdpr 1.4.4 (GHSA-wwqh-cf9m-347f, CVE-2026-92809) e ps_emailsubscription 3.0.1 (GHSA-pg6j-qf29-gc43). L'edizione Classic include anche PrestaShop Checkout 5.5.6.

Se l'installer era raggiungibile, Sansec consiglia di cercare backdoor sul server e di disattivare la modalità debug in produzione.