# Luka bezpieczeństwa PrestaShop i PHP2Shell: jak chronić swój sklep

> Zabezpiecz PrestaShop po PHP2Shell: sprawdź wersję PHP, skontroluj foldery override i modules oraz zabezpiecz katalog admina i konta pracowników.

Źródło: https://phpsos.de/pl/plattformen/prestashop/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

**Krótko:** Luka bezpieczeństwa PrestaShop, o której obecnie jest głośno, to PHP2Shell i tkwi w PHP, a nie w sklepie. Aktualizacja PrestaShop w tej sprawie nie pomaga. Po poprawce PHP i restarcie należy sprawdzić folder `override`, moduły, kasę i konta pracowników.

## Co PHP2Shell oznacza dla sprzedawców korzystających z PrestaShop

PrestaShop to aplikacja PHP rozpowszechniona wśród małych i średnich sprzedawców, często na hostingu współdzielonym lub prostych serwerach vServer. Luki CVE-2026-109618 i CVE-2026-109619 umożliwiają według zespołu PHP zdalne wykonanie złośliwego kodu bez logowania, niezależnie od stanu sklepu.

Dla sklepu stawka jest wysoka: konta klientów, adresy, zamówienia, faktury i dostępy do usług płatniczych i wysyłkowych. Atakujący w sklepach często celują w kasę, gdzie mogą podsłuchiwać dane płatnicze, zanim dotrą do dostawcy płatności.

Dochodzi czynnik czasu. Według doniesień medialnych pierwszą próbę ataku zaobserwowano 17.10.2026, a poprawki ukazały się 21.10.2026. Sklep, który w tym czasie był osiągalny, może być dotknięty, nawet jeśli dziś wszystko wygląda normalnie. Potwierdzonych wskaźników kompromitacji (Indicators of Compromise) na razie nie ma; wskazówki wynikają z nietypowego zachowania, nowych plików i zmian w bazie danych.

## Luka bezpieczeństwa PrestaShop: sprawdzanie wersji PHP w Back Office

W **Ustawienia zaawansowane > Informacje** PrestaShop pokazuje dane o serwerze i PHP dla działającej instalacji. Naprawione wersje upstream to 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Firmy hostingowe czasem wprowadzają poprawki jako backport, a wyświetlany numer pozostaje wtedy ten sam. Proszę poprosić o pisemne potwierdzenie stanu.

To, które wersje PHP obsługuje Państwa wersja PrestaShop, można sprawdzić w wymaganiach systemowych w dokumentacji producenta na prestashop.com. Starsze sklepy w wersjach 1.6 i 1.7 często działają na starszych wersjach PHP; wtedy do czasu aktualizacji obowiązuje to, co opisano w artykule [Środki doraźne bez poprawki](https://phpsos.de/pl/php2shell/sofortmassnahmen-ohne-patch/).

## Typowe kryjówki złośliwego kodu w PrestaShop

| Miejsce | Zawartość | Punkt kontroli |
|---|---|---|
| `app/config/parameters.php` (starsze wersje `config/settings.inc.php`) | Dane dostępowe do bazy danych, klucz cookie | Data zmiany, po podejrzeniu odnowić |
| `override/` | Nadpisane klasy i kontrolery | Każdy plik musi dać się wyjaśnić |
| `modules/` | Moduły z marketplace'u i od zewnętrznych dostawców | Nieznane moduły, zmienione pliki |
| `themes/` | Szablony i JavaScript, także dla kasy | Obce skrypty |
| `img/`, `upload/`, `download/` | Obrazy, pliki przesłane przez klientów, produkty cyfrowe | Brak plików PHP |
| `var/cache/`, `var/logs/` | Pamięć podręczna i logi | Zabezpieczyć logi, wygenerować pamięć podręczną od nowa |
| `install/` | Folder instalacyjny | Nie może istnieć w trakcie pracy |

Folder `override` zasługuje na szczególną uwagę. Umieszczony tam kod zastępuje części PrestaShop, na przykład obsługę zamówień lub płatności, i nie jest automatycznie usuwany przy aktualizacjach.

Bezpieczne kontrole w wierszu poleceń i w bazie danych (prefiks tabel zależnie od instalacji):

```bash
find override -name "*.php" -newermt "2026-10-17"
find img upload download -type f -name "*.php"
ls -d admin*
```

```sql
SELECT email, firstname, lastname, active FROM ps_employee;
```

> **Działać natychmiast:**
> Jeśli klienci zgłaszają nietypowe strony płatności lub nadużycie karty po zakupie, proszę wyłączyć kasę z sieci i zabezpieczyć logi od 20.10.2026. Zmanipulowana kasa może przechwytywać dane przy każdym kolejnym zakupie.

## Back Office, konta pracowników i moduły

Back Office znajduje się w katalogu o indywidualnej nazwie, nadawanej przy instalacji. Proszę sprawdzić w Ustawieniach zaawansowanych konta pracowników i profile pod kątem nieznanych lub osieroconych dostępów, na przykład od dawnych agencji. Katalog admina należy, jeśli to możliwe, ograniczyć do znanych sieci.

Moduły z marketplace'u i od zewnętrznych dostawców rozszerzają płatności, wysyłkę, marketing i interfejsy. Każdy moduł to dodatkowy kod PHP, a moduły bez aktywnej opieki należą do najczęstszych punktów wejścia w sklepach PrestaShop. Nieużywane proszę odinstalować i usunąć, a nie tylko wyłączać. Także klucze webservice dla API należy sprawdzić pod kątem nieznanych wpisów.

## Co potrafi aktualizacja PrestaShop, a czego nie

Aktualizacja PrestaShop lub poszczególnych modułów zamyka błędy w tym kodzie. Nie łata PHP, nie restartuje procesów i nie usuwa ani nadpisań, ani obcych modułów, skryptów w motywie czy nowych kont pracowników. Jeśli przechwycono dane osobowe, może ponadto istnieć obowiązek zgłoszenia; ogólne informacje podaje artykuł [Obowiązek zgłoszenia naruszenia RODO: 72 godziny](https://phpsos.de/pl/compliance/dsgvo-meldepflicht-72-stunden/), a ocenę w konkretnym przypadku przeprowadza Państwa inspektor ochrony danych. Na co sprzedawcy powinni zwrócić uwagę poza tym, podsumowuje artykuł [Bezpieczeństwo IT dla sklepów internetowych](https://phpsos.de/pl/branchen/onlineshops/).

W sklepach z kilkoma krajami lub funkcją multistore na tej samej instalacji działa często kilka domen. Znalezisko dotyczy wtedy wszystkich sklepów, nawet jeśli nieprawidłowość zauważono tylko w jednym.

## Jak konkretnie pomaga PHP SOS?

- Ustalamy z Państwa firmą hostingową stan PHP, backport i restart.
- Zabezpieczamy logi, pliki i bazę danych oraz dokumentujemy stan wyjściowy.
- Sprawdzamy nadpisania, moduły, motyw, foldery przesyłania, konta pracowników i klucze webservice.
- W razie znalezisk oczyszczanie i odnowienie dostępów przejmuje nasza usługa [usuwania złośliwego oprogramowania](https://phpsos.de/pl/leistungen/malware-entfernung/).


## Częste pytania

**Czy aktualizacja PrestaShop zamyka PHP2Shell?**  
Nie. Aktualizacje PrestaShop usuwają błędy w kodzie sklepu. Luki PHP2Shell leżą w interpreterze PHP i zamyka je wyłącznie aktualizacja PHP lub potwierdzony backport z restartem wszystkich procesów PHP.

**Gdzie w PrestaShop zobaczę wersję PHP?**  
W Back Office w Ustawienia zaawansowane > Informacje. Znajdują się tam dane o serwerze i PHP. Wprowadzonego backportu nie da się rozpoznać po numerze; potwierdza to Państwa firma hostingowa.

**Czym jest folder override i dlaczego go sprawdzać?**  
W folderze override można nadpisywać klasy i kontrolery PrestaShop. Kod w nim działa zamiast oryginału, na przykład w kasie. Nieznane nadpisania są więc ważnym punktem kontroli po podejrzeniu.

**Czy katalog admina musi mieć zmienioną nazwę?**  
PrestaShop nadaje przy instalacji własną nazwę katalogowi admina. Utrudnia to jego znalezienie, ale nie zastępuje silnych haseł, uwierzytelniania dwuskładnikowego ani ograniczenia dostępu.

## Źródła

- [php.net: komunikaty bezpieczeństwa](https://www.php.net/)
- [PrestaShop](https://www.prestashop.com/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
- [RODO art. 33 (w wersji niemieckiej)](https://dsgvo-gesetz.de/art-33-dsgvo/)