Kort sagt: Den PrestaShop-sårbarhet som just nu gör rubriker är PHP2Shell och finns i PHP, inte i butiken. En PrestaShop-uppdatering hjälper inte mot den. Efter PHP-patch och omstart bör ni kontrollera mappen override, modulerna, kassan och medarbetarkontona.
Vad PHP2Shell betyder för PrestaShop-handlare
PrestaShop är en PHP-applikation som är utbredd hos små och medelstora handlare, ofta på delat webbhotell eller enkla vServrar. Sårbarheterna CVE-2026-109618 och CVE-2026-109619 gör det enligt PHP-teamet möjligt att köra skadlig kod på distans utan inloggning, oberoende av butikens status.
För en butik står mycket på spel: kundkonton, adresser, beställningar, fakturor och åtkomst till betal- och fraktjänster. Angripare har det hos butiker ofta på kassan, där de kan läsa av betalningsuppgifter innan de når betalleverantören.
Dessutom spelar tiden roll. Enligt mediarapporter observerades ett första angreppsförsök den 17 oktober 2026, och patcharna kom den 21 oktober 2026. En butik som var nåbar under den tiden kan vara berörd, även om allt ser normalt ut i dag. Bekräftade kompromissindikatorer (Indicators of Compromise) finns hittills inte; indikationer framgår av ovanligt beteende, nya filer och ändringar i databasen.
PrestaShop-sårbarhet: kontrollera PHP-versionen i Back Office
Under Avancerade inställningar > Information visar PrestaShop server- och PHP-uppgifter för den körande installationen. Åtgärdade upstream-versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Webbhotell levererar ibland rättningar som backport, och det visade numret förblir då detsamma. Låt er statusen bekräftas skriftligen.
Vilka PHP-versioner er PrestaShop-version stöder kontrollerar ni enligt systemkraven i tillverkarens dokumentation på prestashop.com. Äldre butiker med versionerna 1.6 och 1.7 körs ofta på äldre PHP-versioner; då gäller det som står under Akuta åtgärder utan patch tills en uppgradering är möjlig.
Typiska gömställen för skadlig kod i PrestaShop
| Plats | Innehåll | Kontrollpunkt |
|---|---|---|
app/config/parameters.php (äldre versioner config/settings.inc.php) |
Databasåtkomst, cookienyckel | Ändringsdatum, förnya vid misstanke |
override/ |
överskrivna klasser och kontroller | varje fil måste gå att förklara |
modules/ |
moduler från marknadsplatsen och från tredje part | okända moduler, ändrade filer |
themes/ |
mallar och JavaScript, även för kassan | främmande skript |
img/, upload/, download/ |
bilder, kunduppladdningar, digitala produkter | inga PHP-filer |
var/cache/, var/logs/ |
cache och loggar | säkra loggar, bygg om cachen |
install/ |
installationsmapp | får inte finnas i drift |
Mappen override förtjänar särskild uppmärksamhet. Kod som läggs där ersätter delar av PrestaShop, till exempel beställnings- eller betalningshanteringen, och tas inte bort automatiskt vid uppdateringar.
Ofarliga kontroller på kommandoraden och i databasen (tabellprefix beroende på installation):
find override -name "*.php" -newermt "2026-10-17"
find img upload download -type f -name "*.php"
ls -d admin*
SELECT email, firstname, lastname, active FROM ps_employee;
Rapporterar kunder ovanliga betalsidor eller kortmissbruk efter ett köp, ta kassan offline och säkra loggar från och med den 20 oktober 2026. En manipulerad kassa kan fånga upp uppgifter vid varje ytterligare köp.
Back Office, medarbetarkonton och moduler
Back Office ligger i en katalog med ett individuellt namn som tilldelas vid installationen. Kontrollera under Avancerade inställningar medarbetarkonton och profiler med avseende på okända eller föräldralösa åtkomster, till exempel från tidigare byråer. Begränsa admin-katalogen om möjligt till kända nät.
Moduler från marknadsplatsen och från tredje part utökar betalning, frakt, marknadsföring och gränssnitt. Varje modul är extra PHP-kod, och moduler utan aktivt underhåll hör till de vanligaste ingångarna i PrestaShop-butiker. Avinstallera och radera det som inte används i stället för att bara avaktivera det. Även webbtjänstnycklar för API:et bör ni kontrollera med avseende på okända poster.
Vad en PrestaShop-uppdatering klarar och inte klarar
En uppdatering av PrestaShop eller enskilda moduler stänger fel i den koden. Den patchar inte PHP, startar inga processer om och tar varken bort överskrivningar eller främmande moduler, skript i temat eller nya medarbetarkonton. Har personuppgifter fångats upp kan dessutom en anmälningsplikt finnas; allmän information ges i GDPR-anmälningsplikt: 72 timmar, bedömningen i det enskilda fallet gör ert dataskyddsombud. Vad handlare därutöver bör tänka på sammanfattas i IT-säkerhet för webbutiker.
Hos butiker med flera länder eller multistore-funktion körs ofta flera domäner på samma installation. Ett fynd berör då alla butiker, även om avvikelsen bara märktes i en.
Hur hjälper PHP SOS konkret?
- Vi reder ut PHP-status, backport och omstart med ert webbhotell.
- Vi säkrar loggar, filer och databas och dokumenterar utgångsläget.
- Vi kontrollerar överskrivningar, moduler, tema, uppladdningsmappar, medarbetarkonton och webbtjänstnycklar.
- Vid fynd tar vår skadlig kod-borttagning hand om saneringen och förnyandet av åtkomsterna.
Vanliga frågor
Stänger en PrestaShop-uppdatering PHP2Shell?
Nej. PrestaShop-uppdateringar åtgärdar fel i butikskoden. PHP2Shell-sårbarheterna finns i PHP-tolken och stängs bara av en PHP-uppdatering eller en bekräftad backport med omstart av alla PHP-processer.
Var ser jag PHP-versionen i PrestaShop?
I Back Office under Avancerade inställningar > Information. Där står server- och PHP-uppgifter. En installerad backport går inte att känna igen på numret; det bekräftar ert webbhotell.
Vad är mappen override och varför ska den kontrolleras?
I mappen override kan klasser och kontroller i PrestaShop skrivas över. Kod där körs i stället för originalet, till exempel i kassan. Okända överskrivningar är därför en viktig kontrollpunkt efter en misstanke.
Måste admin-katalogen ha bytt namn?
PrestaShop ger vid installationen admin-katalogen ett eget namn. Det gör den svårare att hitta, men ersätter inte starka lösenord, tvåfaktorsinloggning och åtkomstbegränsning.