Sécurité PrestaShop : quelles failles vérifier pour protéger votre boutique ?

Votre boutique fonctionne, les commandes arrivent et aucun problème particulier n’est visible. Pourtant, cela ne permet pas de savoir si votre site présente une vulnérabilité de sécurité.

Pour un e-commerçant, la bonne question est concrète : la version de PrestaShop et les modules installés disposent-ils des correctifs nécessaires ?

Voici les points à contrôler, avec un focus sur PrestaShop 8.2.6 et la recherche à facettes.

Informations vérifiées le 15 octobre 2026. Les versions citées correspondent aux correctifs des vulnérabilités présentées, et non à une garantie de sécurité globale.

PrestaShop 8.2.6 : plusieurs correctifs restent à appliquer

PrestaShop 8.2.8 corrige cinq vulnérabilités présentes dans la branche 8, notamment en version 8.2.6 :

• Une injection SQL dans le back-office, permettant à un employé connecté de lire des données au-delà des autorisations de son profil.
• Un défaut de contrôle des notifications, exposant certaines informations clients et commandes à des employés non autorisés.
• Une faille dans l’import CSV, permettant de déclencher des requêtes dangereuses depuis le serveur. Elle nécessite un accès disposant du droit d’import.
• Une usurpation d’adresse IP, susceptible de contourner certaines protections lorsque la boutique utilise un proxy ou un CDN.
• Une injection de formules dans les exports CSV, présentant un risque pour la personne qui ouvre le fichier dans un tableur.

Ces failles n’ont donc pas toutes les mêmes conditions d’exploitation. Certaines nécessitent un compte employé ; d’autres dépendent de l’infrastructure ou de l’ouverture d’un fichier.

Pour une boutique en 8.2.6, la version 8.2.8 constitue le niveau minimal de correction pour ces cinq vulnérabilités.

Recherche à facettes : un module à contrôler en priorité

Le module officiel Recherche à facettes, identifié par le nom technique ps_facetedsearch, fait l’objet d’un avis critique : CVE-2026-54159.

Les versions 3.0.0 à 4.0.3 sont concernées. Lorsqu’un modèle de filtres affiche un curseur de prix ou de poids, cette vulnérabilité peut permettre l’exécution de code sur le serveur sans authentification.

Le correctif est disponible dans la version 4.0.4 du module.

La vérification doit porter directement sur le module installé : connaître uniquement la version de PrestaShop ne suffit pas. L’avis officiel recommande également de rechercher d’éventuels fichiers PHP inattendus dans le répertoire du module.

Comment organiser la sécurisation de votre boutique ?

Une intervention efficace commence par un état des lieux. Je recommande de procéder dans cet ordre.

1. Faire l’inventaire des composants

Relevez la version exacte de PrestaShop, du thème et des modules présents. Ajoutez les développements spécifiques et les connexions avec vos outils externes : ERP, transporteurs, paiement, marketplaces ou emailing.

Cet inventaire permet de vérifier chaque composant auprès de son éditeur et de préparer les mises à jour nécessaires.

2. Préparer une sauvegarde et un retour arrière

Avant toute modification, conservez une sauvegarde des fichiers et de la base de données. Vérifiez surtout qu’elle peut être restaurée.

Une sauvegarde dont personne n’a testé la restauration apporte peu de visibilité sur le temps nécessaire pour remettre la boutique en service.

3. Tester les correctifs sur une copie du site

Je recommande de valider les mises à jour dans un environnement de test, puis de contrôler les parcours essentiels :

• navigation et recherche de produits ;
• filtres et déclinaisons ;
• ajout au panier et commande ;
• paiement et livraison ;
• emails transactionnels et synchronisations externes.

L’objectif est de corriger les vulnérabilités tout en préservant le fonctionnement commercial du site.

4. Revoir les accès au back-office

Vérifiez les comptes employés et prestataires. Supprimez les accès devenus inutiles et attribuez à chacun les permissions nécessaires à sa mission.

Portez une attention particulière aux fonctions sensibles, comme l’import de données et l’administration des modules.

Une faille connue signifie-t-elle que le site a été piraté ?

Non. Une vulnérabilité indique une possibilité d’attaque, pas la preuve d’une intrusion.

Pour déterminer si une boutique a été compromise, il faut examiner les éléments disponibles : journaux du serveur, fichiers modifiés, comptes inconnus ou changements inexpliqués.

Si une intrusion est suspectée, je recommande de préserver les journaux et une copie de l’état du site avant les opérations de nettoyage. Mettre à jour un composant ferme une faille connue, mais ne démontre pas à lui seul que toute trace d’une intrusion a disparu.

Besoin de vérifier la sécurité de votre PrestaShop ?

Vous ne savez pas quels modules mettre à jour ni par où commencer ?

Je vous accompagne pour faire le point sur votre boutique PrestaShop, identifier les correctifs prioritaires et préparer leur mise en place.

L’objectif : disposer d’un plan d’action clair, adapté à votre environnement technique et aux contraintes de votre activité.

Contactez-moi pour faire le point sur la maintenance et la sécurité de votre boutique.

Sources officielles et détails des vulnérabilités

Les informations de cet article reposent sur les publications de l’équipe PrestaShop et les avis de sécurité de ses dépôts officiels :

• PrestaShop 8.2.8 : publication des cinq correctifs de sécurité — Présentation des vulnérabilités corrigées dans cette version, publiée le 18 août 2026.
• Injection SQL dans les filtres du back-office — GHSA-whxq-pxj5-qq7v — Accès à des données dépassant les permissions d’un compte employé.
• Contrôle d’accès insuffisant aux notifications — GHSA-jf3w-9rmr-5rcr — Exposition d’informations clients et commandes à des employés non autorisés.
• SSRF dans l’import CSV — GHSA-xrwj-pq6w-f8m4 — Requêtes non contrôlées effectuées par le serveur à partir des adresses d’images importées.
• Usurpation d’adresse IP — GHSA-2cr4-vw9p-pjvf — Mauvaise interprétation de l’en-tête X-Forwarded-For dans certains environnements utilisant un proxy ou un CDN.
• Injection de formules dans les exports CSV — GHSA-w6j9-q9rq-wrqg — Risque lié à l’ouverture des exports dans un tableur.
• Recherche à facettes : exécution de code sans authentification — CVE-2026-54159 — Avis concernant le module ps_facetedsearch, versions 3.0.0 à 4.0.3, corrigé en 4.0.4.

Les avis officiels détaillent les versions concernées, les conditions d’exploitation et les correctifs. Ils doivent être consultés avant toute intervention, notamment si un correctif a déjà été appliqué manuellement.