PrestaShop behebt PHP-Code-Injection im Debug-Modus mit Version 9.2.1
Das CERT beschreibt seit dem 9. November 2026 eine PHP-Code-Injection in der Backoffice-Funktion für Performance- und Debug-Einstellungen von PrestaShop. Die Schwachstelle trägt die Kennung CVE-2026-124916 und ermöglicht bei erfolgreicher Ausnutzung die Ausführung beliebigen PHP-Codes mit den Rechten des PHP-Prozesses, schrieb das CERT in seiner Vulnerability Note.
Für einen Angriff benötigt der Angreifer laut CERT ein authentifiziertes Backoffice-Konto mit der Berechtigung, die Debug-Modus-Konfiguration zu ändern. Außerdem muss der PHP-Prozess die betreffende Konfigurationsdatei beschreiben können. Der Angreifer setzt dabei manipulierte Cookie-Namen oder Cookie-Werte, die PrestaShop in eine ausführbare PHP-Konfigurationsdatei schreibt.
Beim nächsten Request lädt die Anwendung die veränderte Datei und führt den eingeschleusten Code aus, erklärte das CERT. Mögliche Folgen sind dem Hinweis zufolge der Zugriff auf Anwendungsgeheimnisse und Kundendaten sowie das Ändern oder Löschen von Dateien und Datenbankinhalten. Die Schwachstelle verleiht laut CERT nicht selbstständig Root-Rechte; Befehle auf Betriebssystemebene hängen von der PHP-Konfiguration und den verfügbaren Funktionen ab.
PrestaShop 9.2.1 behebt die Schwachstelle nach Angaben des CERT. Betreiber sollten auf diese Version oder eine neuere Version aktualisieren. Die betroffenen Release-Versionen waren in der Meldung noch nicht bestätigt.
Wenn ein sofortiges Update nicht möglich ist, empfiehlt das CERT, Änderungen an den Performance- und Debug-Einstellungen auf vertrauenswürdige Administratoren zu beschränken und den Netzwerkzugriff auf das Backoffice einzuschränken. Betreiber können außerdem verhindern, dass der PHP-Prozess die Dateien config/defines.inc.php und config/defines_custom.inc.php beschreibt. Das kann laut CERT jedoch legitime Konfigurationsänderungen verhindern.