PrestaShop 9.2.1 i 8.2.9: 18 luk bezpieczeństwa, co zrobić już dziś

Jeśli na Twoim serwerze wciąż jest folder install z czasu zakładania sklepu, każdy może przeinstalować Twój PrestaShop z własnym administratorem i przejąć sklep, nawet bez konta. To jedna z 18 luk załatanych 9 listopada w aktualizacji PrestaShop 9.2.1 i 8.2.9; dwie kolejne pozwalają użyć ograniczonego kodu rabatowego w kilku zamówieniach naraz, tuż przed Black Friday. Sprawdzenie, czy Cię to dotyczy, zajmie dwie minuty.

Co naprawiają PrestaShop 9.2.1 i 8.2.9?

Łatają 18 luk bezpieczeństwa: PrestaShop ocenia 15 z nich jako poważne, a 3 jako średnie, i zaleca jak najszybszą aktualizację. Oto te, które mogą sklep kosztować najwięcej:

• Instalator, który został na serwerze. Przy instalacji PrestaShop używa się folderu install, który potem trzeba usunąć. Jeśli wciąż tam jest, każdy może ponownie uruchomić instalację na Twoim sklepie: zobaczyć hasło do bazy danych, unieruchomić sklep albo zainstalować go od nowa z własnym administratorem. Druga luka w tym samym folderze pozwala obcemu uruchamiać własne programy na Twoim serwerze. Obie mają ocenę 8,1 na 10 i nie wymagają żadnego konta.
• Kody rabatowe użyte więcej razy, niż pozwalasz. Klient, który potwierdza kilka zamówień jednocześnie, może użyć ograniczonego kodu (jednorazowego albo dla pierwszych 100) we wszystkich, za każdym razem z pełnym rabatem (7,5 na 10).
• Zdublowane zamówienia. Przy koszyku za 0 zł kilka jednoczesnych potwierdzeń może utworzyć kilka zamówień z tego samego koszyka (7,5 na 10).
• Pliki Twoich klientów. Jeśli sprzedajesz produkty z personalizacją, zdjęcie lub dokument przesłany przez klienta może pobrać obcy, który zna numer referencyjny zamówienia i nazwę pliku.
• Sklepy połączone z innymi programami. Jeśli Twój ERP, marketplace albo program do wysyłek łączy się ze sklepem przez webservice PrestaShop, kilka kluczy dostępu może odczytać lub zmienić więcej, niż im dałeś, łącznie z kontami klientów, jeśli masz kilka sklepów w jednej instalacji.
• Co może zrobić ktoś, kto już wchodzi do Twojego panelu. Kilka luk wymaga konta w panelu, ale pozwala jego właścicielowi zajść dużo dalej, niż mu pozwoliłeś. To Twój przypadek, jeśli przy sklepie pracują pracownicy, agencja lub freelancerzy.

Poprawione są też dwa oficjalne moduły. W module RODO (psgdpr 1.4.4) ktoś mógł zapisać zgodę w imieniu innego klienta, a rejestr zgód przestawał być dowodem, kto na co się zgodził. W module newslettera (ps_emailsubscription 3.0.1) eksportowana lista subskrybentów mogła zawierać spreparowany adres, który arkusz kalkulacyjny przy otwarciu bierze za formułę.

Czy mój sklep jest zagrożony?

Tak, jeśli nie masz jeszcze 9.2.1 albo 8.2.9, jedynych dwóch wersji z poprawką. Poprawionej wersji dla 9.0, 9.1 ani 1.7 nie będzie.

• PrestaShop 9.2.0: dotyczą go wszystkie 18 luk. Zaktualizuj do 9.2.1.
• PrestaShop 9.0 lub 9.1: zagrożony, a jego poprawką jest 9.2.1: trzeba na nią przejść.
• PrestaShop 8 (8.0, 8.1 lub 8.2): dotyczy go 15 luk. Zaktualizuj do 8.2.9.
• PrestaShop 1.7 lub starszy: nie dostaje wersji z poprawkami bezpieczeństwa, a komunikat o instalatorze wprost go obejmuje: mówi o każdej wersji starszej niż 8.2.9.

Jak sprawdzić, jaką masz wersję

W panelu sklepu otwórz Zaawansowane → Informacja: tam jest numer wersji.

Czy folder install Twojego sklepu odpowiada?

Otwórz w przeglądarce adres swojego sklepu z dopiskiem /install (na przykład https://twojsklep.pl/install) i spróbuj też /install-dev. Jeśli widzisz stronę „nie znaleziono” swojego sklepu albo błąd serwera, jest dobrze. Jeśli pojawia się kreator instalacji PrestaShop albo cokolwiek innego, Twój sklep jest narażony na dwie najpoważniejsze luki.

W kwietniu firma zajmująca się bezpieczeństwem Sansec znalazła ponad 200 działających sklepów PrestaShop z instalatorem dostępnym dla każdego, głównie we Francji, Włoszech, Polsce i Czechach. Od wersji 9.2.0 folder usuwa się sam po zakończeniu instalacji; w sklepach na 8 i starszych trzeba go było usunąć ręcznie, a nie zawsze to zrobiono.

Jak zaktualizować PrestaShop jeszcze dziś?

Najpierw kopia zapasowa, potem folder install, potem aktualizacja. Moduły i dostępy na końcu:

1. Zrób pełną kopię zapasową (pliki i baza danych) i przechowuj ją poza serwerem.
2. Sprawdź, czy folder install odpowiada. Jeśli tak, poproś jeszcze dziś swojego informatyka lub hosting o jego usunięcie i o sprawdzenie, czy ktoś nie zostawił czegoś na serwerze, bo był otwarty dla każdego.
3. Zaktualizuj PrestaShop: do 9.2.1, jeśli masz 9, do 8.2.9, jeśli masz 8. Robi się to modułem Update Assistant (wcześniej „1-Click Upgrade”). Jeśli sklep ma moduły lub szablon robione na zamówienie, przetestuj to najpierw na kopii.
4. Zaktualizuj dwa oficjalne moduły, RODO i newslettera, w Moduły → Menedżer modułów. Możesz to zrobić, nawet jeśli sklep musi poczekać.
5. Sprawdź, kto ma dostęp do sklepu. Usuń pracowników, którzy już z Tobą nie pracują, i nieużywane klucze webservice. Jeśli żaden program nie jest podłączony przez webservice, wyłącz go w Zaawansowane → Webservice.

Usunięcie folderu install zamyka dwie luki instalatora, najpoważniejsze. Kody rabatowe i zdublowane zamówienia naprawia tylko aktualizacja.

Dlaczego to takie ważne przed Black Friday?

Bo Black Friday wypada 27 listopada, a jego promocje to dokładnie te, które te dwie luki pozwalają nadużyć: kod dla pierwszych 50, jednorazowy kupon wysłany do Twojej listy, prezent do zamówienia, które wychodzi za darmo. Jeśli ktoś znajdzie sposób, żeby użyć tego samego kodu 10 razy, zrobi to w dniu, w którym dajesz największe rabaty i masz najmniej czasu na przeglądanie zamówień.

Jest jeszcze czas, żeby zaktualizować spokojnie. Jeśli nie zdążysz, sprawdzaj zamówienia z kodem rabatowym i zamówienia za 0 zł, zanim je spakujesz: kilka zamówień tego samego klienta z tym samym kodem, prawie w tej samej sekundzie, to sygnał.

A jeśli mój sklep to 1.7, 9.0 albo 9.1?

Jeśli masz 9.0 lub 9.1, krok to 9.2.1. Zostajesz w PrestaShop 9, więc szablon i moduły zwykle dalej działają. Mimo to sprawdź, czy każdy obsługuje 9.2, i przetestuj najpierw na kopii.

Jeśli masz 1.7, dla Twojej wersji nie ma poprawki. Usunięcie folderu install chroni przed luką instalatora; na resztę wyjściem jest przejście na PrestaShop 9. Jest też drugi powód: 1.7 działa najwyżej z PHP 7.4, które też nie dostaje już poprawek, co było widać przy PHP2Shell trzy tygodnie temu. Jakie PHP obsługuje każda wersja PrestaShop, znajdziesz w tekście jakiej wersji PHP potrzebuje PrestaShop.

Całe przejście z 1.7 na 9 opisujemy w tekście aktualizacja PrestaShop 1.7 lub 1.6 do 9. A jeśli wolisz nie śledzić takich komunikatów, w ramach opieki technicznej nad PrestaShop sami aktualizujemy PrestaShop i jego moduły po ich przetestowaniu.

Dla Twojego zespołu technicznego

Oficjalne komunikaty: PrestaShop 9.2.1 i PrestaShop 8.2.9. Wszystkie komunikaty dotyczące rdzenia podają jako poprawione wyłącznie 9.2.1 i 8.2.9; brak poprawki dla 9.0.x, 9.1.x i 1.7. Trzy dotyczą tylko 9 (Admin API: GHSA-p292-3rh4-vm4p i GHSA-6c2j-pgwm-95m9; tryb debugowania: GHSA-95f5-jc9c-gg3q).

• Instalator: GHSA-8rxw-79mh-gmm5 (8,1; dotyczy wszystkiego przed 8.2.9) i GHSA-h2q4-7fp7-m5jp (8,1). Obejście z komunikatu: usunąć install/ (i install-dev/) po instalacji.
• Kody rabatowe i zamówienia za 0: GHSA-r246-6gw4-pj3p i GHSA-2676-hc74-gg7v (7,5). Brak obejścia.
• Webservice: GHSA-hjwq-7qvv-qxj4 (CVE-2026-71519), GHSA-3f36-4qv4-vfgh (CVE-2026-71531), GHSA-wrmc-gmx5-9hhc. Obejście: wyłączyć webservice, jeśli nie jest używany, i dawać uprawnienia do klientów tylko zaufanym integracjom.
• Front bez konta: GHSA-fg9q-mm4c-h5xc (pliki personalizacji, 5,9) i GHSA-g6p7-cx52-hcrj (token resetu hasła, 4,8).
• Panel: GHSA-99cp-c6mm-p7h5, GHSA-7q68-ch46-pxmc, GHSA-fxq4-2mc8-99pr, GHSA-95w6-v2wq-cv8w, GHSA-5p6p-mx64-96jf, GHSA-mgcf-mrg4-mcxv.
• Moduły: psgdpr 1.4.4 (GHSA-wwqh-cf9m-347f, CVE-2026-92809) i ps_emailsubscription 3.0.1 (GHSA-pg6j-qf29-gc43). Edycja Classic zawiera też PrestaShop Checkout 5.5.6.

Jeśli instalator był dostępny, Sansec zaleca przeszukać serwer pod kątem tylnych furtek i wyłączyć tryb debugowania na produkcji.