Kurz gesagt: Die PrestaShop-Sicherheitslücke, die gerade Schlagzeilen macht, ist PHP2Shell und steckt im PHP, nicht im Shop. Ein PrestaShop-Update hilft dagegen nicht. Nach PHP-Patch und Neustart sollten Sie den Ordner override, die Module, den Checkout und die Mitarbeiterkonten prüfen.
Was PHP2Shell für PrestaShop-Händler bedeutet
PrestaShop ist eine PHP-Anwendung, die bei kleinen und mittleren Händlern verbreitet ist, oft auf Shared Hosting oder einfachen vServern. Die Lücken CVE-2026-109618 und CVE-2026-109619 erlauben laut PHP-Team Schadcode aus der Ferne ohne Anmeldung, unabhängig vom Stand des Shops.
Für einen Shop steht viel auf dem Spiel: Kundenkonten, Adressen, Bestellungen, Rechnungen und Zugänge zu Zahlungs- und Versanddiensten. Angreifer haben es bei Shops häufig auf den Checkout abgesehen, wo sie Zahlungseingaben mitlesen können, bevor sie beim Zahlungsanbieter ankommen.
Hinzu kommt der Zeitfaktor. Laut Medienberichten wurde ein erster Angriffsversuch am 17.10.2026 beobachtet, die Patches erschienen am 21.10.2026. Ein Shop, der in dieser Zeit erreichbar war, kann betroffen sein, auch wenn heute alles normal aussieht. Bestätigte Indicators of Compromise gibt es bisher nicht; Hinweise ergeben sich aus ungewöhnlichem Verhalten, neuen Dateien und Änderungen in der Datenbank.
PrestaShop-Sicherheitslücke: PHP-Version im Back Office prüfen
Unter Erweiterte Einstellungen > Informationen zeigt PrestaShop Server- und PHP-Angaben zur laufenden Installation. Behobene Upstream-Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Hoster spielen Korrekturen teils als Backport ein, die angezeigte Nummer bleibt dann gleich. Lassen Sie sich den Stand schriftlich bestätigen.
Welche PHP-Versionen Ihre PrestaShop-Version unterstützt, prüfen Sie laut Systemanforderungen in der Dokumentation des Herstellers auf prestashop.com. Ältere Shops der Versionen 1.6 und 1.7 laufen häufig auf älteren PHP-Ständen; dann gilt, was unter Sofortmaßnahmen ohne Patch steht, bis ein Upgrade möglich ist.
Typische Verstecke für Schadcode in PrestaShop
| Ort | Inhalt | Prüfpunkt |
|---|---|---|
app/config/parameters.php (ältere Versionen config/settings.inc.php) |
Datenbankzugang, Cookie-Schlüssel | Änderungsdatum, nach Verdacht erneuern |
override/ |
überschriebene Klassen und Controller | jede Datei muss erklärbar sein |
modules/ |
Module aus dem Marktplatz und von Drittanbietern | unbekannte Module, veränderte Dateien |
themes/ |
Templates und JavaScript, auch für den Checkout | fremde Skripte |
img/, upload/, download/ |
Bilder, Kunden-Uploads, digitale Produkte | keine PHP-Dateien |
var/cache/, var/logs/ |
Cache und Protokolle | Logs sichern, Cache neu erzeugen |
install/ |
Installationsordner | darf im Betrieb nicht vorhanden sein |
Der Ordner override verdient besondere Aufmerksamkeit. Dort abgelegter Code ersetzt Teile von PrestaShop, zum Beispiel die Bestell- oder Zahlungsabwicklung, und wird bei Updates nicht automatisch entfernt.
Ungefährliche Prüfungen auf der Kommandozeile und in der Datenbank (Tabellenpräfix je nach Installation):
find override -name "*.php" -newermt "2026-10-17"
find img upload download -type f -name "*.php"
ls -d admin*
SELECT email, firstname, lastname, active FROM ps_employee;
Melden Kunden ungewöhnliche Zahlungsseiten oder Kartenmissbrauch nach einem Einkauf, nehmen Sie den Checkout vom Netz und sichern Sie Logs ab dem 20.10.2026. Ein manipulierter Checkout kann bei jedem weiteren Kauf Daten abgreifen.
Back Office, Mitarbeiterkonten und Module
Das Back Office liegt in einem Verzeichnis mit individuellem Namen, das bei der Installation vergeben wird. Prüfen Sie unter Erweiterte Einstellungen die Mitarbeiterkonten und Profile auf unbekannte oder verwaiste Zugänge, etwa von früheren Agenturen. Schränken Sie das Admin-Verzeichnis wenn möglich auf bekannte Netze ein.
Module aus dem Marktplatz und von Drittanbietern erweitern Zahlung, Versand, Marketing und Schnittstellen. Jedes Modul ist zusätzlicher PHP-Code, und Module ohne aktive Pflege gehören zu den häufigsten Einfallstoren in PrestaShop-Shops. Deinstallieren und löschen Sie Ungenutztes, statt es nur zu deaktivieren. Auch Webservice-Schlüssel für die API sollten Sie auf unbekannte Einträge prüfen.
Was ein PrestaShop-Update kann und was nicht
Ein Update von PrestaShop oder einzelnen Modulen schließt Fehler in diesem Code. Es patcht nicht PHP, startet keine Prozesse neu und entfernt weder Overrides noch fremde Module, Skripte im Theme oder neue Mitarbeiterkonten. Wurden personenbezogene Daten abgegriffen, kann zudem eine Meldepflicht bestehen; allgemeine Informationen bietet DSGVO-Meldepflicht: 72 Stunden, die Bewertung im Einzelfall übernimmt Ihr Datenschutzbeauftragter. Was Händler darüber hinaus beachten sollten, fasst IT-Sicherheit für Onlineshops zusammen.
Bei Shops mit mehreren Ländern oder Multistore-Funktion laufen oft mehrere Domains auf derselben Installation. Ein Fund betrifft dann alle Shops, auch wenn die Auffälligkeit nur in einem bemerkt wurde.
Wie hilft PHP SOS konkret?
- Wir klären mit Ihrem Hoster PHP-Stand, Backport und Neustart.
- Wir sichern Logs, Dateien und Datenbank und dokumentieren den Ausgangszustand.
- Wir prüfen Overrides, Module, Theme, Upload-Ordner, Mitarbeiterkonten und Webservice-Schlüssel.
- Bei Funden übernimmt unsere Malware-Entfernung die Bereinigung und das Erneuern der Zugänge.
Häufige Fragen
Schließt ein PrestaShop-Update PHP2Shell?
Nein. PrestaShop-Updates beheben Fehler im Shop-Code. Die PHP2Shell-Lücken liegen im PHP-Interpreter und werden nur durch ein PHP-Update oder einen bestätigten Backport mit Neustart aller PHP-Prozesse geschlossen.
Wo sehe ich in PrestaShop die PHP-Version?
Im Back Office unter Erweiterte Einstellungen > Informationen. Dort stehen Server- und PHP-Angaben. Ein eingespielter Backport ist an der Nummer nicht zu erkennen; das bestätigt Ihr Hoster.
Was ist der override-Ordner und warum prüfen?
Im Ordner override können Klassen und Controller von PrestaShop überschrieben werden. Code dort läuft anstelle des Originals, etwa im Checkout. Unbekannte Overrides sind daher ein wichtiger Prüfpunkt nach einem Verdacht.
Muss das Admin-Verzeichnis umbenannt sein?
PrestaShop vergibt bei der Installation einen eigenen Namen für das Admin-Verzeichnis. Das erschwert das Auffinden, ersetzt aber keine starken Passwörter, keine Zwei-Faktor-Anmeldung und keine Zugriffsbeschränkung.