Procédure de sécurité requise pour les boutiques Prestashop

Prestashop, éditeur d'un logiciel e-commerce open source et gratuit, a prévenu mardi soir les utilisateurs de sa solution qu'une intrusion, susceptible de compromettre la sécurité des boutiques faisant appel à sa solution, avait été constatée sur ses serveurs. Les commerçants sont invités à suivre une procédure de sécurité.

« Le site officiel prestashop.com a été victime d'une infraction électronique entrainant le détournement d'un script de mise à jour d'actualité, visible depuis le back office des boutiques PrestaShop », a indiqué mardi soir par e-mail l'équipe en charge du développement de ce logiciel e-commerce utilisé aujourd'hui par plus de 80 000 boutiques. Les victimes devraient notamment voir apparaître dans les fichiers constitutifs de leur boutique un fichier her.php, placé à la racine du répertoire /modules. L'un des scripts propagé par ce biais servirait notamment à extraire et envoyer vers une adresse tierce les accès administrateurs de la boutique.

L'attaque a été propagée par le biais du script qui gère l'affichage des dernières actualités liées au logiciel sur la page d'accueil de l'administration de ce dernier. D'après Prestashop, les attaquants ont réussi, après intrusion sur son site Web, à modifier le script d'émission de façon à ce que celui-ci n'envoie pas simplement des informations, mais aussi des fichiers malveillants. Les administrateurs de boutique se connectant à l'accueil de leur interface d'administration étaient alors susceptibles de recevoir lesdits fichiers.

Détectée lundi en début de soirée, la faille a été corrigée en moins de 24 heures. Les potentielles victimes sont toutefois invitées à suivre une procédure visant à rétablir l'intégrité de leur boutique, dont le détail est reproduit ci-dessous. De plus amples informations sont disponibles via les forums de Prestashop, où certains s'interrogent sur la pertinence de maintenir des scripts faisant appel à des serveurs externes dans une optique de sécurité.

Prestashop, qui revendique une communauté de plus de 260 000 membres, prépare actuellement la version 1.5 de son logiciel, dont les nouveautés seront présentées lors du salon E-Commerce Paris.