« Alerte de sécurité – Vérification recommandée de vos boutiques » : depuis le 12 février 2026, ce titre inquiète les marchands qui le trouvent dans leur boîte. Une alerte de sécurité PrestaShop, qu’elle vienne de l’éditeur ou d’un avis sur un module, ne prouve pas que votre boutique est piratée, seulement qu’il faut vérifier.
Trois questions, dans cet ordre : l’alerte est-elle vraie, votre boutique est-elle concernée, que faire maintenant. État au 01/10/2026, avec PrestaShop 8.2.8, 9.1.5 et 9.2.0.
Repérez votre alerte dans le tableau de tri.
E-mail douteux : ne cliquez pas. Ouvrez vous-même le centre d’aide de PrestaShop et cherchez le titre.
E-mail de février : il vise un script ajouté au thème. Regardez head.tpl et le dossier /modules/ (quoi chercher).
Avis de faille : relevez la version du module, comparez-la à la version corrigée de l’avis.
Rien trouvé, modules à jour : vous pouvez vous arrêter là.
Signe trouvé ? Ne supprimez rien, arrêtez-vous.
Un doute : 09 72 03 59 17, réponse en moins d’une heure, 7j/7, de 8 h à 22 h. Dépannage PrestaShop dès 150 € HT, prix fixe validé avant toute intervention.
Quelle alerte avez-vous reçue ?
Le mot « alerte » couvre des messages très différents. Le premier geste dépend de celui que vous avez sous les yeux.
| Ce que vous avez reçu | Ce que ça veut dire |
|---|---|
| E-mail « Alerte de sécurité – Vérification recommandée de vos boutiques » PrestaShop, 12/02/2026 | Votre thème contient peut-être un skimmer. |
| Avis de faille sur un module ou le cœur prestataire, newsletter, GitHub, Friends of Presta | Certaines versions sont vulnérables, peut-être la vôtre. |
| Nouvelle version du cœur (8.2.8, 9.1.5) | Des failles corrigées, à installer d’abord sur une copie. |
| E-mail qui réclame un mot de passe, une pièce jointe, un clic urgent | Hameçonnage probable : ne cliquez pas. |
| Client débité, courrier de la banque, avertissement de Google | Possible piratage : ne touchez à rien. Voir boutique PrestaShop piratée. |
Autre cas ? Appelez le 09 72 03 59 17 ou décrivez-nous l’alerte.
L’e-mail vient-il vraiment de PrestaShop ?
Si vous avez pris l’e-mail du 12 février pour du phishing, le réflexe est bon : un faux message « de PrestaShop » qui menace de fermer la boutique, c’est l’exemple que donne l’éditeur dans sa page sur le phishing. Ses critères :
- l’adresse de l’expéditeur finit-elle par @prestashop.com, et non par un nom approchant ?
- en survolant un lien sans cliquer, l’adresse affichée mène-t-elle bien à prestashop.com ?
- vous demande-t-on quelque chose d’inhabituel, comme un mot de passe ou l’ouverture d’une pièce jointe ?
- le ton est-il pressant, avec une menace de fermeture ?
- vous avez déjà saisi un mot de passe ? Changez-le tout de suite et signalez l’e-mail comme hameçonnage.
Le plus sûr ne demande aucun clic : tapez vous-même help-center.prestashop.com et cherchez le titre de l’alerte. La vraie page existe, « Alerte de sécurité – Vérification recommandée de vos boutiques » : publiée le 11/02/2026, texte revu le 17/02. Elle ne demande ni mot de passe ni paiement. Tout se vérifie dans votre navigateur et par FTP.
Le vrai e-mail décrivait le script, conseillait de contacter au plus vite votre agence PrestaShop ou le support de l’éditeur, et renvoyait vers cette page. Le même texte est parti chez de nombreux marchands. Le recevoir ne désigne donc pas votre boutique en particulier.
« Vérification recommandée de vos boutiques » : ce que l’alerte vous demande
Selon PrestaShop, un script ajouté sur certaines boutiques remplace les boutons de paiement par de faux. Le client croit payer ; ses données de carte partent ailleurs. Le script est chargé depuis le fichier _partials/head.tpl du thème actif. L’attaquant a donc pu modifier un fichier de la boutique.
Par où il est entré, l’éditeur ne l’a pas publié. Vérifier vos versions reste donc utile, même si rien n’apparaît ici. Trois endroits à regarder :
- le fichier
themes/votre-thème/templates/_partials/head.tpl, ouvert par FTP ; - le dossier
/modules/: d’après l’alerte, un modulemloaderousimplefilemanagersigne une boutique touchée ; - le tunnel de commande, en navigation privée, jusqu’au choix du paiement : les boutons sont-ils bien ceux de votre prestataire ?
Sa forme exacte figure sur la page officielle de PrestaShop, et elle varie d’une boutique à l’autre. La méthode pas à pas est dans notre test des 5 minutes.
Trouvé ? Ne supprimez rien, le fichier sert de preuve. Appelez le 09 72 03 59 17.
Votre boutique est-elle concernée par une faille (CVE) ?
Un avis de sécurité nomme le composant touché, les versions vulnérables et celle qui corrige. Il vous faut deux informations par module : son nom technique et sa version.
Relever le nom technique et la version de vos modules
- La version : Modules > Gestionnaire de modules. Sous chaque nom, une ligne du type « v4.0.3 – par PrestaShop ».
- Le nom technique : la liste affiche le nom public (« Navigation à facettes »), pas celui que citent les avis (
ps_facetedsearch). Cliquez sur « Configurer » : il suit le mot configure dans l’adresse (configure=ps_facetedsearchen 8,/configure/ps_facetedsearchen 9). C’est aussi le nom de son dossier sous/modules/. - Le cœur : Paramètres avancés > Informations donne la version de PrestaShop.
Les onglets « Alertes » et « Mises à jour » du gestionnaire ne proposent pas toujours la version corrigée : comparez les numéros vous-même. Sur la page Informations, la « Liste des fichiers modifiés » signale les fichiers du cœur qui diffèrent de l’original. Un indice à recouper.
Les comparer aux avis de sécurité (GitHub de PrestaShop, Friends of Presta)
- GitHub de PrestaShop : les avis du cœur et des modules natifs, dans l’onglet Security de chaque dépôt. Les versions correctives sont annoncées sur build.prestashop-project.org.
- Friends of Presta : l’association publie les failles de modules tiers. Chaque fiche donne le nom technique, les versions touchées, la version corrigée quand elle existe et des recommandations.
Les avis récents qui comptent pour une boutique en production sont réunis dans notre liste des failles de sécurité PrestaShop récentes, tenue à jour. Voici comment se lit un avis, sur le plus grave de 2026.
Exemple : la faille ps_facetedsearch de juin 2026
| Ce que dit l’avis | ps_facetedsearch (03/06/2026) |
|---|---|
| Composant | Module natif « Navigation à facettes », CVE-2026-54159 |
| Versions touchées | 3.0.0 à 4.0.3, sur PrestaShop 1.7.1.0 et plus |
| Version corrigée | 4.0.4, installable à partir de PrestaShop 1.7.7.0 |
| Gravité | 10 sur 10 |
| Compte nécessaire à l’attaque | Aucun |
| En attendant la mise à jour | Les mesures provisoires de l’avis (rubrique « Until the module is upgraded »), dont une recherche de fichiers PHP inattendus dans modules/ps_facetedsearch/ |
Gravité maximale, aucun compte nécessaire : ce cas-là n’attend pas lundi. Les boutiques en 1.7.1 à 1.7.6 étaient touchées sans version installable. Il leur restait le correctif manuel, appliqué au code par un développeur, ou l’appel à un professionnel.
PrestaShop 8, 9 ou 1.7 : quelle version du cœur est corrigée ?
- PrestaShop 9 : la 9.1.5 du 18/08/2026 a corrigé cinq failles, dont trois de gravité élevée. La 9.2.0 est sortie le 30/09/2026.
- PrestaShop 8 : la 8.2.8, le même jour, apporte les mêmes corrections.
- PrestaShop 1.7 : plus aucun correctif du cœur. L’un des avis du 18/08/2026 précise que la faille existe aussi en 1.7 et n’y sera pas corrigée. Les pistes : maintenance d’une boutique 1.6 ou 1.7.
Que faire après une alerte de sécurité, dans l’ordre
Le même ordre vaut pour l’e-mail de février et pour un avis de faille.
- Sauvegardez tout, hors du serveur. Fichiers et base de données, téléchargés sur votre ordinateur ou un stockage externe. Depuis l’espace client de l’hébergeur, ou bien les fichiers par FTP et la base par phpMyAdmin > Exporter. Si la suite tourne mal, c’est votre point de retour.
- Cherchez des traces avant de toucher. Les signes de la section sur l’e-mail, un fichier PHP inconnu dans le dossier du module visé, un compte employé inconnu (Paramètres avancés > Équipe). Arrêtez-vous au premier signe.
- Mettez à jour sur une copie. Module ou cœur, testé sur une copie de la boutique, avec une commande jusqu’au paiement. Puis en production, juste après une nouvelle sauvegarde.
- Pas de correctif : limitez l’exposition. Appliquez la mesure provisoire de l’avis (sur GitHub, la rubrique placée sous « Patches » ; chez Friends of Presta, « Other recommendations »), sinon désactivez le module. Ses fichiers restent sur le serveur. Si l’étape 2 n’a rien montré, retirez-le ou faites-le retirer : Gestionnaire de modules, « Désinstaller », en cochant « Optionnel : supprimer le dossier du module après la désinstallation ». Jamais par FTP. Paiement, livraison ? Appelez.
- Notez, puis revérifiez. Date, version, avis : une trace datée, utile si une question se pose plus tard. Dans les jours suivants, refaites le tunnel de commande en navigation privée, et guettez le correctif si vous avez désactivé un module.
Dépannage dès 150 € HT, prix fixe validé avant toute intervention. Réponse en moins d’une heure, 7j/7, de 8 h à 22 h.
Quand s’arrêter et faire appel à un professionnel
PrestaShop l’écrit dans son alerte : seul un professionnel peut garantir la sécurisation d’une boutique touchée. Arrêtez-vous si :
- vous avez trouvé un signe, dans le thème ou à l’étape 2 (fichier PHP inconnu, compte employé inconnu) ;
- une faille exploitable sans compte est restée ouverte plusieurs jours avant votre mise à jour ;
- le module touché n’a pas de correctif et gère le paiement ou la livraison, ou la faille s’exploite sans compte ;
- votre boutique est en 1.7 et l’avis vise le cœur, ou en 1.7.1 à 1.7.6 avec ps_facetedsearch ;
- vous n’avez ni copie de la boutique ni sauvegarde complète.
Ne supprimez rien : fichiers suspects et journaux montrent par où l’intrus est entré. Les mots de passe se changent (back-office, base de données, FTP, SSH, puis l’accès à la base dans le fichier de configuration), mais une porte dérobée restée en place les rend inutiles. Le changement compte une fois la boutique nettoyée. Si des données de clients ont pu fuiter, la CNIL doit être prévenue, dans les 72 h si possible, et PrestaShop conseille de porter plainte. Demandez aussi à l’hébergeur de conserver ses journaux.
Appelez le 09 72 03 59 17, ou passez par notre formulaire en choisissant « Site piraté / Malware ». Le nettoyage coûte 150 € HT, prix fixe, et il est offert si vous prenez notre maintenance : détail sur la page boutique PrestaShop piratée.
Ce qu’il ne faut pas faire après une alerte
- Envoyer vos accès par e-mail ou dans un formulaire. PrestaShop le rappelle : ce sont des données sensibles, qui ne voyagent pas par e-mail.
- Supprimer le fichier ou le module suspect. Vous effacez la preuve et le chemin de l’intrus, qui reviendra par la même porte.
- Restaurer une vieille sauvegarde sans savoir par où l’intrus est entré. La faille revient avec elle, parfois l’infection aussi.
- Conclure « je n’ai rien vu, donc rien ». Un skimmer analysé sur une autre boutique PrestaShop en février 2026 se désactivait pour les administrateurs connectés : testez en navigation privée.
- Installer un module « de sécurité » récupéré hors des circuits officiels. Une copie piratée (nulled) peut embarquer n’importe quel code. PrestaShop conseille sa Marketplace.
La prochaine alerte : être prévenu avant
Seul, abonnez-vous au flux de Friends of Presta et suivez les annonces de build.prestashop-project.org. Sur les boutiques que nous suivons, la veille porte sur chaque module installé : ses versions sont confrontées aux bases OSV et Friends of Presta, et un humain confirme chaque alerte avant toute action. Le 3 juin 2026, nos clients ont reçu notre e-mail le jour même de l’avis ps_facetedsearch ; les boutiques hébergées chez nous étaient déjà protégées par notre pare-feu.
La maintenance PrestaShop coûte 69 € HT/mois, sans engagement. Elle démarre par un audit complet offert : l’occasion de faire auditer vos modules avant la prochaine alerte. Pour les boutiques en hébergement et maintenance chez nous, les mises à jour mineures du cœur sont incluses. Le reste de nos protections est décrit sur notre page sécurité PrestaShop.
Questions fréquentes sur l’alerte de sécurité PrestaShop
L’e-mail « Alerte de sécurité – Vérification recommandée de vos boutiques » est-il un phishing ?
Non, l’alerte est authentique : PrestaShop l’a envoyée le 12 février 2026 et l’a publiée sur son centre d’aide. Un faux peut copier son titre : ne cliquez pas, tapez vous-même help-center.prestashop.com et cherchez ce titre. La page officielle ne demande ni mot de passe ni paiement.
J’ai reçu l’alerte : ma boutique est-elle piratée ?
Pas forcément : le même e-mail est parti chez de nombreux marchands. Vérifiez le fichier _partials/head.tpl du thème, l’absence de modules mloader et simplefilemanager, et le tunnel de commande en navigation privée. Au moindre signe, ne supprimez rien : lisez notre page boutique PrestaShop piratée.
Comment savoir si un module de ma boutique a une faille (CVE) ?
Relevez son nom technique (le nom de son dossier sous /modules/) et sa version (Modules > Gestionnaire de modules). Cherchez-le ensuite dans les avis : GitHub de PrestaShop pour les modules natifs, Friends of Presta pour les modules tiers. Version inférieure à la version corrigée : mettez à jour, sur une copie d’abord.
PrestaShop 8 ou 1.7 : ma version a-t-elle des failles connues (CVE) ?
En 8, oui avant la 8.2.8 : cinq failles y ont été corrigées le 18/08/2026, comme en 9.1.5. En 1.7, le cœur ne reçoit plus de correctifs, et l’une de ces failles le touche aussi.
Le module n’a pas de correctif : que faire ?
Appliquez la mesure provisoire de l’avis, s’il y en a une, sinon désactivez le module. Cela limite l’exposition sans toujours fermer la faille. Sans trace suspecte, retirez-le ensuite depuis le Gestionnaire de modules, dossier compris, jamais par FTP. S’il gère le paiement ou la livraison, faites-vous aider.
Combien coûte une intervention après une alerte ?
Chez CYBERIAL, un dépannage coûte dès 150 € HT, avec un prix fixe validé avant toute intervention. Réponse en moins d’une heure, 7j/7, de 8 h à 22 h, au 09 72 03 59 17. Pour être prévenu des prochaines failles : maintenance à 69 € HT/mois, sans engagement.
Vous préférez qu’on vérifie pour vous ?
Après une alerte de sécurité PrestaShop, le formulaire suffit : l’adresse de la boutique (celle que voient vos clients), l’alerte reçue (son titre et sa date, ou le lien de l’avis) et, si vous la connaissez, votre version. Choisissez « Site piraté / Malware » si vous avez vu un signe, sinon « Autre ». N’écrivez ni mot de passe ni adresse d’administration dans le formulaire.
Plus rapide, le 09 72 03 59 17 (7j/7, de 8 h à 22 h). La maintenance PrestaShop, à 69 € HT/mois sans engagement, vous prévient de la prochaine faille d’un de vos modules.
