PrestaShop 9.2.1 a 8.2.9: opravených 18 bezpečnostných chýb, aktualizujte

PrestaShop vydal 9. novembra 2026 bezpečnostnú aktualizáciu PrestaShop 9.2.1 a zároveň aj verziu 8.2.9 pre obchody na PrestaShope 8. Nová verzia opravuje 18 zraniteľností, z toho 15 s vysokou závažnosťou. Niektoré z nich sa dajú zneužiť aj bez účtu v obchode. Tím PrestaShopu odporúča aktualizovať čo najskôr. V tomto článku vysvetlím, čo aktualizácia opravuje, koho sa týka a ako ju bezpečne nainštalovať.

Čo je PrestaShop 9.2.1

PrestaShop 9.2.1 je opravné vydanie, ktoré nadväzuje na veľkú septembrovú verziu 9.2. Neprináša nové funkcie ani zmeny, ktoré by mohli rozbiť témy či moduly. Opravuje bezpečnostné chyby, dve drobné chyby v administrácii a aktualizuje knižnice, na ktorých PrestaShop stojí, napríklad komponenty Symfony na verziu 6.4.50. Ak vás zaujíma, čo priniesla verzia 9.2, prečítajte si článok PrestaShop 9.2: nákup na jednej stránke, vlastné polia a AI asistent.

Súčasne vyšiel PrestaShop 8.2.9, ktorý obsahuje 15 z 18 opráv. Tri zvyšné sa týkajú len PrestaShopu 9, pretože súvisia s funkciami, ktoré verzia 8 nemá.

Prečo je táto aktualizácia dôležitá

Väčšina chýb síce vyžaduje prístup do administrácie alebo kľúč k webovej službe, no nie všetky. Najnebezpečnejšie sú tieto:

• Spustenie kódu cez inštalátor bez prihlásenia. Ak je na serveri dostupný inštalátor PrestaShopu, útočník ho mohol zneužiť a spustiť na serveri vlastný kód bez akéhokoľvek účtu. Inštalátor sa navyše dal spustiť znova aj na hotovom obchode a prepísať jeho nastavenia.
• Súbory s prispôsobením produktu. Kto poznal kód objednávky, mohol stiahnuť súbor, ktorý zákazník nahral pri prispôsobení produktu, napríklad fotku na potlač. Teraz je potrebný aj tajný kľúč objednávky.
• Obnova hesla. Kód na obnovu hesla zákazníka sa dal za určitých podmienok uhádnuť. Teraz sa generuje bezpečne náhodne.
• Zľavové kupóny a objednávky. Pri súbežných požiadavkách sa dal prekročiť limit použití kupónu a z jedného košíka s nulovou sumou mohlo vzniknúť viac objednávok.

Pri chybách, ktoré vyžadujú prihlásenie, ide najmä o to, že zamestnanec s obmedzenými právami mohol získať viac, než mal. Napríklad zamestnanec s prístupom len k nastaveniam výkonu alebo k prekladom mohol na serveri spustiť vlastný kód. Ak má do vašej administrácie prístup viac ľudí, agentúra alebo externisti, týka sa to aj vás.

Čo všetko aktualizácia opravuje

Zhrnul som opravy do skupín, aby bolo jasné, čo sa koho týka:

• Inštalátor – už sa nedá spustiť na nainštalovanom obchode a opravená je chyba, ktorá umožňovala spustiť kód bez prihlásenia.
• Nahrávanie súborov – obrázky SVG so skriptom sa už nedajú nahrať ako logo ani cez správcu súborov. Opravený je aj import tém a modulov, kde sa dali zapísať súbory mimo určeného priečinka.
• Administrácia – opravené sú chyby v prekladoch, prekladoch e-mailov, režime ladenia a pri importe témy z webu, ktoré umožňovali zamestnancom spustiť kód. Oprávnenie len na vytváranie objednávok už neumožní meniť existujúce objednávky.
• Webová služba (API) – kľúč obmedzený na jeden obchod v multistore sa už nedostane k údajom iných obchodov a cez prílohy sa už nedajú čítať ani mazať súbory mimo určeného priečinka.
• Admin API v PrestaShope 9 – klient si už nemôže sám pridať ďalšie oprávnenia a vypnutie klienta alebo zrušenie tokenu sa prejaví okamžite.
• Zákazníci a objednávky – bezpečnejšia obnova hesla, chránené súbory s prispôsobením, limit kupónov a ochrana pred duplicitnými objednávkami.

Podrobnosti ku každej chybe sú v oficiálnom oznámení PrestaShopu.

Aktualizujte aj moduly

Spolu s jadrom vyšli opravy dvoch oficiálnych modulov, ktoré má veľa obchodov:

• ps_emailsubscription 3.0.1 (odber noviniek) – pri exporte odberateľov do CSV sa mohla podvrhnutá e-mailová adresa v tabuľkovom editore spustiť ako vzorec.
• psgdpr 1.4.4 (GDPR) – záznam súhlasov dôveroval ID zákazníka z požiadavky, takže ktokoľvek mohol zaznamenať súhlas za iného zákazníka.

Oba moduly aktualizujete samostatne v Moduly › Správca modulov. V klasickej verzii PrestaShopu 9.2.1 je aj PrestaShop Checkout 5.5.6 s ďalšími opravami.

Čo ak máte PrestaShop 1.7

Oznámenie PrestaShopu sa o verzii 1.7 nezmieňa, opravy vyšli len pre PrestaShop 9.2.1 a 8.2.9. Ak máte obchod na PrestaShope 1.7, tieto opravy oficiálne nedostanete. Neznamená to, že je obchod okamžite ohrozený, no s každou ďalšou bezpečnostnou aktualizáciou sa rozdiel zväčšuje.

Čo môžete urobiť hneď:

• skontrolujte, že na serveri nie je priečinok install, ani pod iným názvom,
• obmedzte prístup do administrácie len na ľudí, ktorí ho naozaj potrebujú, a prejdite si oprávnenia zamestnancov,
• vypnite webovú službu (API), ak ju nepoužívate, a zrušte nepotrebné kľúče,
• aktualizujte moduly a PHP na serveri, pozrite si aj článok o kritickej zraniteľnosti PHP,
• naplánujte prechod na PrestaShop 8 alebo 9.

Ako zistiť, akú verziu máte

V administrácii PrestaShopu otvorte Rozšírené parametre › Informácie. Verziu PrestaShopu nájdete hneď na začiatku. Ak máte 9.2.1, na PrestaShope 8 verziu 8.2.9, alebo novšiu, opravy sú nainštalované.

Ako aktualizovať bezpečne

1. Urobte zálohu databázy aj súborov. Postup nájdete v návode na zálohu databázy.
2. Ak máte možnosť, vyskúšajte aktualizáciu najprv na testovacej kópii obchodu.
3. Aktualizujte cez modul Update Assistant (1-Click Upgrade), ktorý PrestaShop odporúča.
4. Po aktualizácii aktualizujte aj moduly ps_emailsubscription a psgdpr, ak ich používate.
5. Vymažte cache a vyskúšajte celý nákup: košík, pokladňu, platbu, e-maily a faktúru.
6. Skontrolujte, že na serveri nezostal priečinok install.

Pri prechode z 9.2.0 na 9.2.1 alebo z 8.2.x na 8.2.9 ide o opravné vydanie, preto je riziko problémov s témou či modulmi malé. Zálohu si však urobte vždy.

Časté otázky

Musím aktualizovať, aj keď mám malý obchod? Áno. Útoky sú automatizované a roboty skúšajú známe chyby na všetkých obchodoch bez ohľadu na veľkosť. Po zverejnení opráv sú podrobnosti verejné.

Mám PrestaShop 9.1. Môžem prejsť priamo na 9.2.1? Áno, no pôjde o prechod na verziu 9.2 s jej novinkami. Odporúčam ho vyskúšať na testovacej kópii, najmä pokladňu a moduly dopravy a platby.

Rozbije aktualizácia moje moduly? Vydanie podľa PrestaShopu neobsahuje nekompatibilné zmeny. Pri moduloch tretích strán však odporúčam po aktualizácii vyskúšať hlavné funkcie obchodu.

Stačí aktualizovať PrestaShop? Nie úplne. Aktualizujte aj moduly a skontrolujte verziu PHP na serveri. Bezpečný obchod je súhrn všetkých týchto častí.

Potrebujete pomôcť s aktualizáciou?

Ak si nie ste istí, ako aktualizovať, alebo máte starší PrestaShop a zvažujete prechod na novšiu verziu, rád vám pomôžem. Urobím zálohu, vyskúšam aktualizáciu na testovacej kópii, skontrolujem moduly a server a aktualizujem obchod tak, aby nestál. Napíšte mi cez formulár nižšie.