Vulnerabilità in PrestaShop: aggiorna e aggiungi l'autenticazione a due fattori al back office

Hai paura che una password di amministratore rubata apra il back office del tuo negozio? Fai due cose: tieni PrestaShop all'ultima versione e aggiungi l'autenticazione a due fattori (2FA). Con la 2FA, oltre alla password serve un codice monouso che ogni dipendente genera sul proprio telefono. L'aggiornamento chiude le falle note. La 2FA fa in modo che una password trapelata, da sola, non basti.

Le vulnerabilità arriveranno sempre, e l'IA accelera il ritmo

Ogni software ha dei bug. Si scoprono col tempo e si correggono nelle versioni successive. PrestaShop 9.2 è uscito il 30 settembre 2026. Qualche settimana prima, PrestaShop 9.1.5 aveva corretto cinque vulnerabilità arrivate tramite divulgazione coordinata. Le corregge anche la 8.2.8, pubblicata in contemporanea.

Una delle cinque era una SQL injection nei filtri degli elenchi del back office. L'ha trovata Claude (Anthropic), all'interno del programma di divulgazione coordinata delle vulnerabilità di Anthropic. Doyensec l'ha poi verificata e segnalata. Quindi l'IA trova già falle vere, non solo in teoria.

Secondo il Verizon DBIR 2026, oggi lo sfruttamento delle vulnerabilità è la via d'ingresso più comune. È la prima volta in 19 anni di rapporto che supera il furto di credenziali. Verizon collega il peggioramento nelle patch al forte aumento delle vulnerabilità. Si prevede anche che l'uso dell'IA per scoprirle, da parte di ricercatori o di chi attacca, aggiunga altro carico. Un dettaglio da tenere a mente: i dati del rapporto sono precedenti all'«esplosione» della ricerca assistita dall'IA.

Cosa fa PrestaShop di serie per l'accesso al back office

Di serie, PrestaShop chiede solo una password per entrare nel back office. E una password si ruba con il phishing, si indovina o arriva riusata da un altro sito che ha subito una violazione. Verizon segnala che le credenziali rubate vengono impacchettate e vendute dagli initial access broker. In più il pretexting, cioè inventare uno scenario per farsi consegnare informazioni o accessi, è sempre più frequente come via d'ingresso di ransomware ed estorsioni. La CISA è chiara: chi attiva l'autenticazione multifattore ha probabilità significativamente minori di essere violato.

Come attivare l'autenticazione a due fattori con il nostro modulo

Per aggiungere il secondo fattore abbiamo il nostro modulo che aggiunge l'autenticazione a due fattori all'accesso al back office. Dopo la password, ogni dipendente scrive il codice di 6 cifre che vede sul suo telefono. È compatibile con il tuo PrestaShop. Non dipende da servizi esterni, abbonamenti o chiavi API: i codici si verificano sul tuo server.

Ti servono due cose. Un'app TOTP (RFC 6238) sul telefono di ogni dipendente, come Google Authenticator, Authy, 2FAS o Microsoft Authenticator. E un server che offra una fonte sicura di casualità: se non c'è, il modulo te lo dice.

1. Apri la configurazione. Dopo averlo installato, vai nella pagina di configurazione del modulo.
2. Crea la tua chiave. In «Gestione 2FA dei dipendenti», sulla tua riga, fai clic su «Genera chiave 2FA». Scansiona il codice QR con la tua app e scrivi il codice di 6 cifre.
3. Metti al sicuro il codice di recupero. È personale, vale una volta sola e ha il formato XXXX-XXXX-XXXX. Ti serve se perdi il telefono.
4. Imponila a tutta la squadra. In «Impostazioni globali» attiva «Forza la 2FA per tutti i dipendenti», ma solo quando almeno un amministratore ha già la sua chiave. Chi non ce l'ha troverà una configurazione guidata al prossimo accesso.
5. Regola frequenza e avvisi. Se ti serve, aggiungi «Indirizzi IP esentati dalla 2FA». In «Richiedi un nuovo codice» scegli se chiederlo a ogni accesso oppure ogni 1, 4, 8 o 24 ore, ogni settimana, ogni 15 giorni o ogni mese. Poi attiva quello che ti serve tra «Ricorda i dispositivi attendibili», «Email a ogni nuova connessione» ed «Email sui tentativi falliti».
6. Controlla gli accessi. Li trovi tutti nella scheda «Registro attività».

Cosa include il modulo

Prima della campagna di novembre, metti al sicuro gli accessi

Devi aggiungere personale per novembre o dare accesso a un'agenzia? Attiva «Forza la 2FA per tutti i dipendenti» prima che inizino: ogni nuovo account configurerà la sua chiave al primo accesso. Accendi anche l'email sui tentativi falliti, così lo vieni a sapere senza aprire il back office. I tuoi clienti non se ne accorgeranno: si protegge solo l'accesso dei dipendenti.

Domande frequenti