In breve: la vulnerabilità di PrestaShop che fa notizia in questi giorni è PHP2Shell e si trova in PHP, non nello shop. Un aggiornamento di PrestaShop non serve contro di essa. Dopo patch di PHP e riavvio dovrebbe controllare la cartella override, i moduli, il checkout e gli account dei dipendenti.
Che cosa significa PHP2Shell per i commercianti PrestaShop
PrestaShop è un'applicazione PHP diffusa presso i piccoli e medi commercianti, spesso su hosting condiviso o semplici vServer. Le vulnerabilità CVE-2026-109618 e CVE-2026-109619 consentono, secondo il team PHP, di eseguire codice dannoso da remoto senza autenticazione, indipendentemente dallo stato dello shop.
Per uno shop in gioco c'è molto: account cliente, indirizzi, ordini, fatture e accessi ai servizi di pagamento e di spedizione. Negli shop gli aggressori puntano spesso al checkout, dove possono leggere i dati di pagamento prima che arrivino al fornitore di pagamento.
A ciò si aggiunge il fattore tempo. Secondo notizie dei media, un primo tentativo di attacco è stato osservato il 17/10/2026, le patch sono uscite il 21/10/2026. Uno shop raggiungibile in quel periodo può essere interessato, anche se oggi tutto sembra normale. Finora non esistono indicatori di compromissione (IoC) confermati; gli indizi emergono da comportamenti insoliti, nuovi file e modifiche nel database.
Vulnerabilità PrestaShop: verificare la versione di PHP nel Back Office
In Parametri avanzati > Informazioni, PrestaShop mostra i dati su server e PHP dell'installazione in esecuzione. Le versioni upstream corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Gli hoster talvolta applicano le correzioni come backport, e il numero visualizzato resta allora lo stesso. Si faccia confermare lo stato per iscritto.
Quali versioni di PHP supporta la Sua versione di PrestaShop, lo verifichi nei requisiti di sistema nella documentazione del produttore su prestashop.com. Gli shop più vecchi, delle versioni 1.6 e 1.7, girano spesso su versioni di PHP più vecchie; vale allora quanto scritto in Misure immediate senza patch, finché non è possibile un upgrade.
Nascondigli tipici del codice dannoso in PrestaShop
| Posizione | Contenuto | Punto da controllare |
|---|---|---|
app/config/parameters.php (versioni più vecchie config/settings.inc.php) |
Accesso al database, chiave dei cookie | Data di modifica, rinnovare in caso di sospetto |
override/ |
classi e controller sovrascritti | ogni file deve essere spiegabile |
modules/ |
Moduli del marketplace e di terze parti | moduli sconosciuti, file modificati |
themes/ |
Template e JavaScript, anche per il checkout | script estranei |
img/, upload/, download/ |
Immagini, upload dei clienti, prodotti digitali | nessun file PHP |
var/cache/, var/logs/ |
Cache e log | salvare i log, rigenerare la cache |
install/ |
Cartella di installazione | non deve esserci in esercizio |
La cartella override merita particolare attenzione. Il codice lì depositato sostituisce parti di PrestaShop, ad esempio la gestione degli ordini o dei pagamenti, e non viene rimosso automaticamente dagli aggiornamenti.
Controlli non invasivi da riga di comando e nel database (prefisso delle tabelle a seconda dell'installazione):
find override -name "*.php" -newermt "2026-10-17"
find img upload download -type f -name "*.php"
ls -d admin*
SELECT email, firstname, lastname, active FROM ps_employee;
Se i clienti segnalano pagine di pagamento insolite o abusi di carta dopo un acquisto, scolleghi il checkout dalla rete e metta al sicuro i log a partire dal 20/10/2026. Un checkout manipolato può intercettare dati a ogni ulteriore acquisto.
Back Office, account dei dipendenti e moduli
Il Back Office si trova in una directory con un nome individuale, assegnato all'installazione. Controlli in Parametri avanzati gli account dei dipendenti e i profili alla ricerca di accessi sconosciuti o orfani, ad esempio di precedenti agenzie. Limiti, se possibile, la directory admin a reti note.
I moduli del marketplace e di terze parti ampliano pagamento, spedizione, marketing e interfacce. Ogni modulo è codice PHP aggiuntivo, e i moduli senza manutenzione attiva sono tra i punti d'ingresso più frequenti negli shop PrestaShop. Disinstalli ed elimini ciò che non usa, anziché solo disattivarlo. Anche le chiavi webservice per l'API andrebbero verificate alla ricerca di voci sconosciute.
Che cosa può fare un aggiornamento di PrestaShop e che cosa no
Un aggiornamento di PrestaShop o dei singoli moduli chiude errori in quel codice. Non applica patch a PHP, non riavvia processi e non rimuove né override né moduli estranei, script nel tema o nuovi account di dipendenti. Se sono stati sottratti dati personali, può inoltre sussistere un obbligo di notifica; informazioni generali offre Obbligo di notifica GDPR: 72 ore, la valutazione nel singolo caso spetta al Suo responsabile della protezione dei dati. Che cosa dovrebbero considerare inoltre i commercianti è riassunto in Sicurezza IT per i negozi online.
Negli shop con più paesi o con funzione multistore, più domini girano spesso sulla stessa installazione. Un riscontro riguarda allora tutti gli shop, anche se l'anomalia è stata notata in uno solo.
In che modo PHP SOS aiuta concretamente?
- Chiariamo con il Suo hoster stato di PHP, backport e riavvio.
- Mettiamo al sicuro log, file e database e documentiamo lo stato iniziale.
- Controlliamo override, moduli, tema, cartelle di upload, account dei dipendenti e chiavi webservice.
- In caso di riscontri, la nostra rimozione del malware si occupa della bonifica e del rinnovo degli accessi.
Domande frequenti
Un aggiornamento di PrestaShop chiude PHP2Shell?
No. Gli aggiornamenti di PrestaShop correggono errori nel codice dello shop. Le vulnerabilità di PHP2Shell sono nell'interprete PHP e si chiudono solo con un aggiornamento di PHP o un backport confermato, con riavvio di tutti i processi PHP.
Dove vedo la versione di PHP in PrestaShop?
Nel Back Office, in Parametri avanzati > Informazioni. Lì si trovano i dati su server e PHP. Un backport applicato non si riconosce dal numero; lo conferma il Suo hoster.
Che cos'è la cartella override e perché controllarla?
Nella cartella override si possono sovrascrivere classi e controller di PrestaShop. Il codice lì presente gira al posto dell'originale, ad esempio nel checkout. Gli override sconosciuti sono quindi un punto di controllo importante in caso di sospetto.
La directory admin deve essere stata rinominata?
All'installazione PrestaShop assegna un nome proprio alla directory admin. Questo rende più difficile trovarla, ma non sostituisce password robuste, autenticazione a due fattori e limitazione degli accessi.