sofort handelnPrestaShopCVE-2026-71531
PrestaShop Core 9.x – kritische Schwachstellen ohne Authentifizierung
hoch
- Gemeldet9. November 2026
- Unser Artikel9. November 2026
- Korrektur nicht bestätigtverfügbar
- Ihre Websitejetzt prüfen
Das Wichtigste in Kürze
- PrestaShop Core 9.0.0-9.2.0 ermöglicht Angreifern den Zugriff ohne Anmeldung.
- Alle Shops, die diese Versionen nutzen, sind betroffen.
- Betreiber sollten sofort die Version prüfen und ein Update einplanen.
- Software
- PrestaShop Core
- Betroffen
- >= 9.0.0, < 9.2.1
- Behoben in
- nicht bestätigt
- Schweregrad
- hoch (CVSS 8,1)
- Aktiv ausgenutzt
- nicht bekannt
- Kennung
- CVE-2026-71531, CVE-2026-71519
Unsere Einschätzung sofort handeln
Wir schätzen das Risiko für typische Online-Shops als hoch ein, weil die Lücken ohne vorherige Anmeldung aus dem Netzwerk ausgenutzt werden können. Da bislang kein fixierter Patch bekannt ist, bleibt die Angriffsfläche bis zum Release einer sicheren Version bestehen.
Was die Lücken in PrestaShop Core ermöglichen
PrestaShop Core ab Version 9.0.0 bis vor 9.2.1 enthält mehrere kritische Schwachstellen. Darunter fällt eine Missing-Authentication-Lücke (CVE-2026-71531), die es Angreifern erlaubt, kritische Funktionen ohne vorherige Anmeldung auszuführen, sowie eine Authorization-Bypass-Lücke (CVE-2026-71519), bei der ein vom Nutzer gesteuerter Schlüssel die Zugriffskontrolle umgeht. Weitere Probleme betreffen falsche Rechte-Verwaltung, Pfad-Beschränkungen und zu kurze Session-Ablaufzeiten.
Da keine vorherigen Benutzerrechte erforderlich sind, können die Angriffe aus der Ferne über das Netzwerk erfolgen. Der veröffentlichte CVSS-Score von 8.1 stuft das Risiko als hoch ein, und obwohl eine aktive Ausnutzung nicht bestätigt ist, bleibt die Angriffsfläche für alle betroffenen Installationen bestehen.
Wer von den Schwachstellen betroffen ist
Alle Online-Shops, die PrestaShop Core in einer Version neuer als = 9.0.0 und kleiner als 9.2.1 einsetzen, sind potenziell gefährdet. Das betrifft sowohl neue Installationen als auch bestehende Shops, die noch nicht auf eine neuere Hauptversion aktualisiert wurden. Betreiber, die nicht genau wissen, welche Version aktuell läuft, sollten unverzüglich prüfen, ob sie in den genannten Versionsbereich fallen.
Sofortmaßnahmen für betroffene Shops
- Version prüfen – Öffnen Sie das PrestaShop-Backend, gehen Sie zu Konfiguration → Informationen und notieren Sie die angezeigte Kernversion.
- Backup erstellen – Sichern Sie Datenbank und alle Dateien, um im Notfall eine Wiederherstellung zu ermöglichen.
- Patch einplanen – Sobald PrestaShop einen Sicherheits-Patch veröffentlicht, führen Sie das Update sofort durch. Bei fehlendem Patch sollten Sie das Update auf die nächste stabile Hauptversion vorbereiten.
- Zugriff einschränken – Beschränken Sie den Zugriff auf das Back-Office auf bekannte IP-Adressen oder nutzen Sie eine Zwei-Faktor-Authentifizierung, um unautorisierte Anfragen zu blockieren.
- Monitoring aktivieren – Überwachen Sie Log-Dateien und prüfen Sie regelmäßig, ob neue Admin-Accounts oder ungewöhnliche Aktivitäten auftreten.
Durch diese Schritte reduzieren Sie das Risiko einer Kompromittierung, bis ein offizieller Fix verfügbar ist.
Häufige Fragen
Wie erkenne ich, welche PrestaShop-Version ich verwende?
Melden Sie sich im Backend an, klicken Sie auf *Konfiguration → Informationen* und lesen Sie die dort angezeigte Kernversion. Diese Angabe lässt sich zudem in der Datei *app/config/parameters.php* prüfen.
Kann ich die Lücken ohne offiziellen Patch selbst mitigieren?
Temporär können Sie den Zugriff auf das Back-Office auf feste IP-Adressen beschränken und Zwei-Faktor-Authentifizierung aktivieren. Das reduziert das Risiko, ersetzt aber keinen zukünftigen Sicherheits-Patch.
Wie hoch ist das Risiko, dass meine Seite kompromittiert wird?
Der CVSS-Score von 8.1 bewertet das Risiko als hoch, weil die Schwachstellen ohne vorherige Anmeldung aus dem Netzwerk ausgenutzt werden können. Ohne Gegenmaßnahme besteht die Gefahr, dass Angreifer kritische Funktionen übernehmen.