W lipcu 2026 zajmowaliśmy się dwoma poważnymi włamaniami na sklepy PrestaShop w ciągu jednego tygodnia. Jedno przez dodatek odpowiedzialny za wygląd sklepu, drugie przez oficjalny moduł nawigacji od samego PrestaShopa.
Nie były to sklepy słabo zaprojektowane, lecz bez systematycznej aktualizacji. Zobacz co dokładnie się wydarzyło, dlaczego to dotyczy każdego właściciela sklepu na PrestaShop, i co z tego wynika dla Ciebie.
Co się właściwie stało z pierwszym sklepem?
Nasz klient zauważył, że strona zachowuje się dziwnie. Wolniej się ładuje, kilka rzeczy zniknęło z widoku. Zajrzeliśmy do środka i znaleźliśmy pliki, których na serwerze nikt nie wgrał ręcznie. To były tzw. tylne furtki, czyli fragmenty kodu, które pozwalają komuś z zewnątrz robić na sklepie to, co zechce. Bez logowania, bez wiedzy właściciela.
Skąd się tam wzięły? Powodem był dodatek do budowania wyglądu sklepu. To narzędzie, które pozwala układać stronę bez znajomości kodu, i ma w sobie funkcję "Generate Code", która zapisuje fragmenty kodu w plikach szablonu. Bardzo wygodne, kiedy używa jej deweloper. Bardzo niebezpieczne, kiedy dostanie się do niej ktoś nieproszony.
Reszta zadziałała jak w domino. Ktoś wstawił szkodliwy fragment kodu przez tę funkcję. Przy każdym otwarciu strony ten kod tworzył kolejny ukryty plik. Kolejne otwarcie, kolejne pliki, między innymi w innym module o nazwie gridhtml. Osoba z zewnątrz mogła w tym momencie sięgnąć do plików sklepu, do bazy danych, i dokładać kolejne pułapki bez naszej wiedzy.
Naprawiliśmy sklep poprzez:
- usunięcie wszystkich szkodliwych plików,
- zabezpieczenie samego dodatku, tak żeby nie dało się już wgrać przez niego niczego niebezpiecznego,
- sprawdzenie, czy prawa dostępu do plików na serwerze są ustawione poprawnie.
Sklep pracował przez cały czas, klienci nie zauważyli awarii. Podobny przypadek z tym samym dodatkiem opisywaliśmy już w kwietniu 2025 w osobnym artykule o ważnej aktualizacji tego dodatku.
A co z drugim sklepem? Tutaj było jeszcze poważniej
Drugi przypadek dotyczył modułu, który ma zainstalowany prawie każdy sklep PrestaShop. Nazywa się Faceted Search i odpowiada za filtry na stronie kategorii: cena od-do, kolor, rozmiar, marka. Rzecz, bez której nikt dziś nie kupuje.
3 czerwca 2026 zespół bezpieczeństwa PrestaShop opublikował oficjalny alert. Okazało się, że ten moduł w wersjach od 3.0.0 do 4.0.3 ma krytyczną lukę z najwyższym możliwym poziomem zagrożenia. Wystarczyło, że ktoś podał sprytnie ułożony adres URL do sklepu, żeby móc wykonać na serwerze dowolne polecenie. Nie trzeba było ani konta w sklepie, ani hasła administratora. Zwykły odwiedzający z internetu miał do dyspozycji wszystko, co ma administrator.
Ten atak nie wymagał logowania. Każdy publicznie dostępny sklep PrestaShop z podatną wersją modułu Faceted Search był otwarty dla dowolnej osoby z internetu. Wystarczyło znać adres sklepu.
PrestaShop wypuścił poprawkę tego samego tygodnia, w wersjach 9.1.4 i 8.2.7 oraz w samym module w wersji 4.0.4. Sklepy, które dostały aktualizację w ciągu kilku dni, były bezpieczne. Sklepy bez stałej i systematycznej aktualizacji są łatwym celem.
Dlaczego akurat PrestaShop? Bo jest popularny
W tym momencie warto powiedzieć jedną rzecz. PrestaShop nie jest bardziej dziurawy niż inne platformy. Jest jednym z najczęściej wybieranych silników sklepowych w Polsce. I to właśnie jego popularność czyni go celem. Atakującym opłaca się szukać luk w oprogramowaniu, które napędza tysiące sklepów. Ten sam mechanizm dotyczy WordPressa, Magento, Shopify. Nie ma platformy odpornej.
Jest za to bardzo duża różnica między sklepem, który jest systematycznie aktualizowany, a sklepem, który jest aktualizowany od czasu do czasu. Jeśli pracujesz na starszej wersji PrestaShop, warto sprawdzić co przynosi PrestaShop 9, bo najnowsze gałęzie dostają łatki najszybciej.
W obu naszych lipcowych przypadkach problemem nie była platforma. Problemem był brak aktualizacji. I to jest historia, która powtarza się w każdym większym incydencie bezpieczeństwa w e-commerce.
Co łączyło oba ataki?
Oba przypadki wyglądały inaczej pod maską, ale prowadziły do tego samego. Pokazuje to poniższa tabela.
| Element | Dodatek do wyglądu sklepu | Faceted Search |
|---|---|---|
| Skąd był ten moduł | Zewnętrzny dostawca | Oficjalny, od PrestaShop |
| Jak atakujący się dostał | Przez funkcję dodatku | Przez adres URL sklepu |
| Czy trzeba było się logować | Tak, wymagany dostęp do panelu | Nie, wystarczał adres sklepu |
| Co uzyskał atakujący | Ukryte furtki i dostęp do plików | Pełną kontrolę nad serwerem |
| Jak to zamknąć | Usunąć furtki, zabezpieczyć dodatek | Zaktualizować moduł do wersji 4.0.4 |
Wniosek jest prosty. Moduł, nawet oficjalny, nawet napisany przez samych twórców PrestaShopa, może być bramą wjazdową, jeśli od dawna nie był aktualizowany. Rozróżnienie "oficjalne moduły są bezpieczne, zewnętrzne ryzykowne" to mit. Problemem nie jest pochodzenie modułu. Problemem jest brak jego aktualizacji.
Jak sprawdzić, czy Twój sklep jest bezpieczny?
Kilka rzeczy warto sprawdzić samodzielnie albo poprosić o to specjalistę.
- Wersja PrestaShop. Zaloguj się do panelu i sprawdź, jaka jest wersja Twojego sklepu. Jeśli to coś starszego niż 8.2.7 albo 9.1.4, warto zaplanować aktualizację.
- Wersja modułu Faceted Search. W panelu "Moduły" znajdź ten moduł. Jeśli masz wersję niższą niż 4.0.4, sklep jest podatny na ten lipcowy atak.
- Inne moduły. Zwłaszcza te, które kupiłeś kiedyś na PrestaShop Addons albo od zewnętrznych deweloperów. Każdy z nich może być bramą, dokładnie jak wspomniany dodatek w naszym pierwszym przypadku.
- Kopie zapasowe. Kiedy ostatnio ktoś realnie odzyskiwał sklep z backupu i sprawdzał, czy w ogóle działa? Backup, którego się nie testuje, to nie backup, tylko iluzja backupu.
- Certyfikat SSL i konfiguracja TLS. To osobny obszar, o którym pisaliśmy przy okazji krótszej ważności certyfikatów.
Samo sprawdzenie to jedno. Jeśli okaże się, że coś już się dzieje w plikach, albo widać podejrzane wpisy w logach serwera, to nie jest zadanie do rozwiązania po godzinach z YouTube'em. Odzyskanie sklepu po włamaniu wymaga wglądu w konkretne pliki, znajomości wzorców i doświadczenia w reagowaniu na incydenty. Lepiej wtedy zadzwonić do kogoś, kto już to widział.
Nie masz pewności, czy Twój sklep jest bezpieczny? Sprawdzimy to razem.
Dlaczego warto aktualizować sklep regularnie, a nie tylko po awarii?
Jeśli te dwie historie czegoś uczą, to tego, że producenci reagują szybko. PrestaShop wypuścił poprawkę w ciągu 24 godzin od alertu. Dostawca tego dodatku zareagował w podobnym tempie po naszym zgłoszeniu. Ekosystem działa.
Problem w tym, że łatka gotowa na serwerach producenta nic nie daje, jeśli nikt nie wgra jej do Twojego sklepu. Sklep, którego właściciel nie loguje się do panelu przez trzy miesiące, jest odcięty od tej ochrony. Ktoś ją napisał, ktoś ją opublikował, ale nikt jej nie zainstalował.
Ekonomia jest tu bezlitosna. Regularna aktualizacja modułu to niewielka inwestycja. Odzyskiwanie sklepu po włamaniu to dni albo tygodnie, kosztuje kilkadziesiąt razy więcej i prawie zawsze wiąże się z niezręcznymi rozmowami z klientami, których dane mogły wyciec.
W przypadku sklepów, którymi się zajmujemy, oba lipcowe ataki nie zamieniły się w publiczną awarię, bo zdążyliśmy zamknąć furtki zanim atakujący w pełni je wykorzystali. Sklep nieaktualizowany to nie kwestia "czy". To kwestia "kiedy". Warto też pamiętać, że nie chodzi tylko o luki w kodzie. Boty i automaty skanujące internet potrafią przeciążyć sklep nawet bez włamania, o czym pisaliśmy w artykule o botach atakujących sklepy PrestaShop.
Regularna praca ze sklepem to nie luksus. To dbanie o niego, tak samo jak o samochód: robisz przeglądy, naprawiasz drobne usterki zanim staną się dużym problemem.
Dlaczego warto powierzyć bezpieczeństwo sklepu Silnet Media?
Od ponad 25 lat pracujemy ze sklepami internetowymi. Za nami ponad 1000 realizacji i ponad 400 opinii ze średnią 4,9 w Google. W ramach opieki nad sklepami PrestaShop robimy trzy rzeczy jednocześnie.
Śledzimy zagrożenia. Kiedy PrestaShop albo społeczność wypuszcza alert o luce w module, wiemy o tym w ciągu godzin, nie miesięcy. Wiemy też, które moduły mają nasi klienci, i które z nich są bezpośrednio zagrożone.
Aktualizujemy sklep. Rdzeń PrestaShop, moduły, motywy, wersję PHP na serwerze. Regularnie, a nie tylko po awarii. Każda aktualizacja idzie najpierw na środowisko testowe, żeby zamiast naprawiać jedno, nie zepsuć drugiego.
Reagujemy, kiedy coś się dzieje. Kiedy trafia do nas sklep po włamaniu, jak w tym lipcowym przypadku z zewnętrznego dodatku albo wcześniejszej głośnej luce w PrestaShopie, wiemy gdzie szukać. Wzorce ataków, które widzimy od lat, są rozpoznawalne, jeśli ktoś je już widział.
Nasze doświadczenie w PrestaShop obejmuje wersje od starszych 1.6 po najnowsze 9.1, moduły oficjalne i komercyjne, konfiguracje wielosklepowe i integracje z systemami zewnętrznymi. Widzimy wzorce, bo pracujemy z tym każdego dnia.
Twój sklep powinien być w dobrych rękach.
Napisz do nas. Sprawdzimy jak jest teraz i co można poprawić.
Najczęściej zadawane pytania
-
Tak, jeśli używasz modułu Faceted Search w wersji niższej niż 4.0.4 na PrestaShop 1.7.1.0 lub nowszym. Atak nie wymaga logowania, więc każdy publicznie dostępny sklep z podatną wersją jest w zasięgu. Aktualizacja modułu do wersji 4.0.4 zamyka podatność. Jeśli nie wiesz, jakiej wersji używasz, sprawdź w zakładce Moduły albo napisz do nas.
-
Nie zawsze. Nasz lipcowy przypadek z dodatkiem do wyglądu sklepu pokazuje, że lukę może mieć moduł od zewnętrznego dostawcy. Krytyczna luka w Faceted Search pokazuje, że nawet moduł oficjalny, napisany przez zespół PrestaShop, może mieć błąd na najwyższym poziomie zagrożenia. Nie chodzi o to, skąd pochodzi moduł. Chodzi o to, czy jest aktualizowany.
-
To zależy od tego, jak głęboko sięgnęło włamanie i jak szybko zostało wykryte. Kilka godzin roboty, jeśli tylne furtki znaleźliśmy szybko, a świeży backup jest do dyspozycji. Kilka dni albo tygodni, jeśli szkodliwe pliki rozeszły się po całym sklepie i trzeba odbudowywać go z fragmentów. W praktyce regularna opieka jest wielokrotnie tańsza niż jedna operacja odzyskiwania.
-
Nie ma platformy odpornej na luki. PrestaShop jest jednym z najpopularniejszych silników sklepowych w Polsce, i to właśnie jego popularność czyni go celem. Ten sam mechanizm dotyczy WordPressa z WooCommerce i innych. Kluczowe pytanie brzmi nie "co wybrałeś", tylko "kto to utrzymuje w formie".
Źródła: PrestaShop, oficjalny alert bezpieczeństwa dla modułu Faceted Search, 3 czerwca 2026 (build.prestashop-project.org) | GitHub Security Advisory GHSA-m5f5-28qr-9g9r | CVE-2026-54159, opublikowane 17 lipca 2026 (poziom zagrożenia CVSS 10) | Silnet Media, incydenty na sklepach klientów, lipiec 2026 (dane własne) | IBM, Cost of a Data Breach Report
