PrestaShop CVE-2026-124916はHigh―Debug設定からPHPコード実行、9.2.1へ更新

PrestaShopとCERT/CCは2026年11月9日、管理画面のDebug設定に起因するPHPコード注入を公表しました。CERT/CCが示す番号はCVE-2026-124916で、開発元の評価はCVSS v3.1 7.2／Highです。修正版は9.2.1で、JVNも10日に国内向け情報を掲載しました。

入口はバックオフィスのPerformance画面です。Debugモード用のCookie名・値を十分に検証せずPHP設定ファイルへ書き込むため、この設定を変更できるアカウントからコードを混入できます。後続のリクエストで設定ファイルが読み込まれ、Webサーバーのユーザー権限で実行されます。未認証の来訪者が直接悪用できる問題ではなく、設定ファイルをPHPから書き込めることも条件です。

開発元は影響版を9.0.0以上9.2.1未満としています。一方、CERT/CCのCVE登録は1.5.0.0以上9.2.1未満、説明ページは影響リリース未確定と記載しており、旧系列の範囲に差があります。この記事は開発元の修正案内を基準としますが、9系より前を対象外と断定せず、利用系列について追加確認が必要です。

更新までの暫定策として、開発元はPerformance権限を、サーバー上のコード実行を任せられる利用者に限定するよう案内しています。CERT/CCはバックオフィスへのネットワークアクセス制限も示しています。CSRF対策だけでは必要な権限を持つアカウントの悪用を防げません。修正後も従業員アカウントの権限を確認してください。