Faille de sécurité PrestaShop : ce que l’injection SQL de 2022 nous apprend encore aujourd’hui

En juillet 2022, une faille de sécurité majeure touchant PrestaShop a fait grand bruit dans l’écosystème e-commerce français : les versions comprises entre 1.6.0.10 et 1.7.8.1 étaient concernées — soit, à l’époque, la quasi-totalité des boutiques en ligne. Même les versions plus récentes n’étaient pas totalement épargnées dès lors qu’elles utilisaient certains modules vulnérables.

Cet épisode reste un cas d’école utile, parce que ce type de faille continue de réapparaître régulièrement sur l’écosystème PrestaShop — sous une autre forme, dans un autre module, mais avec le même mécanisme de fond. Comprendre comment ça fonctionne, c’est comprendre pourquoi la maintenance régulière n’est pas une option.

Qu’est-ce qu’une injection SQL, concrètement ?

Un site e-commerce repose sur des fichiers et une base de données. Vos formulaires — connexion, paiement, recherche produit — envoient des informations qui sont ensuite transformées en requêtes vers cette base de données. Sur un formulaire de connexion par exemple, la requête va demander à la base : « existe-t-il un utilisateur avec cet email et ce mot de passe ? »

Le problème survient quand un formulaire n’est pas correctement sécurisé : les données saisies par l’utilisateur sont transmises telles quelles, sans être filtrées, et viennent se mélanger directement à la requête envoyée à la base de données. Une personne malveillante peut alors injecter du code dans ce formulaire pour modifier la requête d’origine — et, par exemple, accéder au site sans connaître aucun identifiant.

Dans le cas de la faille PrestaShop de 2022, les attaquants exploitaient une faille au niveau du cache de Smarty (le moteur de templates de PrestaShop) pour prendre le contrôle de la boutique, puis injectaient un faux formulaire de paiement sur la page de commande afin de récupérer directement les données bancaires des clients.

Comment savoir si votre boutique est exposée

Deux réflexes à avoir, que la faille de 2022 soit ou non toujours d’actualité pour votre installation :

  • Vérifier votre version PrestaShop et vous assurer qu’elle est à jour — les correctifs de sécurité ne servent à rien s’ils ne sont pas appliqués
  • Auditer régulièrement vos modules installés : le nombre d’installations et surtout la date de la dernière mise à jour du développeur sont de bons indicateurs. Un module qui n’est plus maintenu est une porte ouverte, même si votre cœur PrestaShop est parfaitement à jour

Des outils existent pour scanner automatiquement une installation PrestaShop à la recherche de failles connues — mais leur usage demande une lecture technique des résultats, et corriger une faille détectée sans casser le reste du site n’est pas toujours trivial.

Pourquoi la maintenance régulière change tout

Cet épisode de 2022 illustre une réalité simple : la sécurité d’une boutique PrestaShop n’est jamais acquise une fois pour toutes. Une installation à jour aujourd’hui peut devenir vulnérable demain, dès qu’une faille est découverte sur le cœur PrestaShop ou sur l’un de vos modules.

C’est exactement ce que couvre notre maintenance PrestaShop chez Pixaltis : surveillance continue, mises à jour appliquées avant qu’une faille ne devienne un problème, sauvegardes régulières pour pouvoir revenir en arrière en cas d’incident, et un vrai suivi plutôt qu’une intervention seulement quand ça casse.

Votre boutique tourne, mais vous n’avez pas de visibilité sur son niveau de sécurité actuel ? Contactez-nous pour un diagnostic gratuit — mieux vaut vérifier avant qu’après.