30 października 2026 roku LiteSpeed Technologies udostępnił pilną aktualizację bezpieczeństwa modułu LiteSpeed Cache for PrestaShop. Wersja 1.6.2 wprowadza pięć poprawek zabezpieczających mechanizm Edge Side Includes (ESI), wykorzystywany do dynamicznego wyświetlania elementów stron internetowych. Producent wskazuje między innymi na zagrożenie ESI URL Injection, niewystarczające zabezpieczenie parametrów żądań oraz konieczność skuteczniejszej weryfikacji argumentów przekazywanych do szablonów i metod modułów.
Aktualizacja została oficjalnie określona przez producenta jako pilna poprawka bezpieczeństwa. Problem dotyczy dodatkowego modułu LiteSpeed Cache, a nie samego silnika PrestaShop. Administratorzy korzystający z tego rozwiązania powinni zweryfikować zainstalowaną wersję i wdrożyć aktualizację 1.6.2.
Czym jest LiteSpeed Cache i jak działa mechanizm ESI w PrestaShop?
LiteSpeed Cache for PrestaShop to moduł przyspieszający działanie sklepów internetowych poprzez przechowywanie wygenerowanych wcześniej wersji stron w pamięci podręcznej serwera. Dzięki temu przy kolejnych odwiedzinach nie trzeba za każdym razem wykonywać wszystkich operacji PHP i zapytań do bazy danych.
W przypadku e-commerce klasyczne buforowanie całych stron nie zawsze jest jednak wystarczające. Niektóre elementy muszą wyświetlać informacje właściwe dla konkretnego klienta, nawet gdy pozostała część strony pochodzi z pamięci podręcznej.
Do obsługi takich sytuacji wykorzystywany jest mechanizm Edge Side Includes, czyli ESI. Pozwala on wydzielić fragmenty strony, które są przetwarzane i buforowane niezależnie od pozostałej zawartości.
Przykładami takich elementów mogą być:
- zawartość koszyka zakupowego i liczba znajdujących się w nim produktów;
- informacje o zalogowaniu klienta i elementy jego konta;
- dynamiczne fragmenty szablonu zależne od użytkownika;
- wybrane elementy generowane przez dodatkowe moduły PrestaShop.
Dzięki ESI sklep internetowy może korzystać z szybkiego buforowania większości strony, zachowując jednocześnie możliwość wyświetlania indywidualnych informacji poszczególnym klientom.
Mechanizm wymaga jednak prawidłowej kontroli parametrów określających, jaki fragment strony ma zostać wygenerowany i jakie dane mogą zostać przekazane do jego obsługi. Właśnie ten obszar został objęty poprawkami bezpieczeństwa z 30 października.
Jakie zagrożenia usuwa LiteSpeed Cache 1.6.2?
Oficjalna historia zmian LiteSpeed Technologies wymienia pięć usprawnień bezpieczeństwa dotyczących mechanizmu ESI.
1. Zabezpieczenie przed ESI URL Injection
Najważniejsza poprawka dotyczy zwiększenia odporności modułu na ESI URL Injection. Jest to klasa zagrożeń związanych z niewłaściwą obsługą adresów i parametrów wykorzystywanych przy generowaniu dynamicznych fragmentów strony.
Jeżeli mechanizm odpowiedzialny za przetwarzanie takich żądań niewystarczająco weryfikuje otrzymywane dane, odpowiednio przygotowane parametry mogą wpływać na sposób obsługi fragmentu strony.
Producent nie opublikował jednak szczegółowego scenariusza wykorzystania tej konkretnej podatności. Nie potwierdzono możliwości zdalnego wykonania kodu, przejęcia kont administratorów ani kradzieży danych płatniczych.
2. Podpisywanie parametru pd z wykorzystaniem sekretu sklepu
W wersji 1.6.2 wprowadzono zabezpieczenie polegające na kryptograficznym podpisywaniu oryginalnej wartości parametru pd przy użyciu sekretu sklepu oraz kontekstu konkretnej instalacji.
Takie rozwiązanie ma chronić integralność przekazywanych parametrów. Pozwala powiązać określone dane z instalacją, która je wygenerowała, i ograniczyć możliwość ich nieautoryzowanej modyfikacji.
Jest to szczególnie istotne w mechanizmach przetwarzających dynamiczne żądania, w których wartości parametrów mogą wpływać na generowaną zawartość.
3. Ignorowanie danych POST podczas obsługi ESI
Kolejna poprawka powoduje ignorowanie wartości przesyłanych metodą POST w trakcie przetwarzania żądań ESI.
Zmiana ogranicza możliwość wpływania na działanie mechanizmu poprzez dodatkowe dane dostarczane w treści żądania HTTP. Dzięki temu obsługa ESI jest ściślej powiązana z parametrami przewidzianymi przez moduł.
4. Odrzucanie nieprawidłowych argumentów szablonów
Wprowadzono również dodatkową kontrolę argumentów przekazywanych do szablonów ESI.
Nieprawidłowe wartości mają być odrzucane, zamiast trafiać do dalszego przetwarzania. Ogranicza to ryzyko niepożądanego zachowania mechanizmów odpowiedzialnych za dynamiczne generowanie fragmentów strony.
5. Weryfikacja argumentów metod hooków ESI
Ostatnia poprawka bezpieczeństwa dotyczy argumentów metod hooków, czyli mechanizmów umożliwiających modułom PrestaShop wykonywanie określonych operacji w ustalonych miejscach aplikacji.
LiteSpeed Cache wykorzystuje takie mechanizmy między innymi do obsługi dynamicznych fragmentów stron. Wersja 1.6.2 dodaje filtrowanie nieprawidłowych argumentów przekazywanych do metod hooków ESI.
Producent wprowadził ponadto zmianę niezwiązaną bezpośrednio z podatnością: włączenie lub wyłączenie modułu LiteSpeed Cache powoduje teraz pełne wyczyszczenie jego pamięci podręcznej.
Które sklepy PrestaShop powinny zainstalować poprawkę?
Ostrzeżenie dotyczy instalacji PrestaShop wykorzystujących dodatkowy moduł LiteSpeed Cache for PrestaShop, określany również jako LSCPS.
Nie należy utożsamiać go z modułami cache innych producentów ani z wtyczką LiteSpeed Cache przeznaczoną dla WordPressa.
Producent opublikował poprawki w wersji 1.6.2 z 30 października 2026 roku. Nie podał jednak dokładnego zakresu wszystkich podatnych wydań ani warunków konfiguracyjnych koniecznych do wykorzystania poszczególnych problemów.
Największą uwagę na aktualizację powinny zwrócić przedsiębiorstwa, których instalacje wykorzystują moduł LSCPS oraz dynamiczne bloki ESI, zwłaszcza powiązane z koszykiem, kontem klienta i niestandardowymi komponentami szablonu.
Warto przy tym pamiętać, że sam fakt korzystania ze zwykłego buforowania stron nie potwierdza możliwości przeprowadzenia ataku. Szczegółowy zakres podatnych konfiguracji nie został publicznie określony.
Aktualizacja samego PrestaShop nie zastępuje aktualizacji LiteSpeed Cache. Moduł posiada własny cykl rozwoju i niezależne wydania bezpieczeństwa.
Czy występują aktywne ataki na sklepy PrestaShop?
Na dzień 1 listopada 2026 roku producent nie opublikował informacji potwierdzających aktywne wykorzystywanie opisanych problemów w rzeczywistych atakach.
Nie udostępniono również publicznego numeru CVE, oceny CVSS ani szczegółowej analizy technicznej określającej maksymalne skutki wykorzystania nieprawidłowości.
Potwierdzonym faktem jest wydanie pilnych poprawek bezpieczeństwa, w tym zabezpieczenia przed ESI URL Injection. Nie ma natomiast podstaw, aby na tej podstawie twierdzić, że doszło już do masowego przejmowania sklepów, wykradania danych klientów czy manipulowania transakcjami.
Brak potwierdzonych ataków nie oznacza jednak, że aktualizację można odkładać. W przypadku publicznie dostępnych komponentów sklepów internetowych szybkie instalowanie poprawek ogranicza okres potencjalnej ekspozycji.
Jak bezpiecznie zaktualizować LiteSpeed Cache w PrestaShop?
Administratorzy korzystający z modułu LSCPS powinni sprawdzić jego wersję w panelu administracyjnym PrestaShop, w sekcji zarządzania modułami.
Jeżeli zainstalowane jest wydanie wcześniejsze niż 1.6.2, zalecane jest przeprowadzenie aktualizacji po wykonaniu kopii bezpieczeństwa i zweryfikowaniu zgodności z używanym szablonem oraz dodatkowymi integracjami.
Praktyczna procedura powinna obejmować następujące czynności:
- Sprawdzenie wersji modułu. Otwórz panel PrestaShop, przejdź do zarządzania modułami i odszukaj LiteSpeed Cache. Zweryfikuj numer zainstalowanego wydania.
- Wykonanie kopii zapasowej. Zabezpiecz pliki sklepu, bazę danych oraz konfigurację modułu. Jest to szczególnie ważne w przypadku instalacji z niestandardowymi blokami ESI.
- Pobranie poprawionej wersji. Korzystaj wyłącznie z oficjalnej dystrybucji LiteSpeed Technologies. Przed instalacją upewnij się, że pobierany pakiet rzeczywiście ma numer 1.6.2, ponieważ starsze wydanie 1.6.1 nie zawiera poprawek z 30 października.
- Aktualizacja modułu. Zainstaluj nowe wydanie zgodnie z procedurą przewidzianą przez producenta, zachowując istniejącą konfigurację sklepu.
- Wyczyszczenie pamięci podręcznej. Po aktualizacji usuń starszą zawartość cache i sprawdź, czy sklep poprawnie generuje aktualne wersje stron.
- Testy koszyka i kont klientów. Sprawdź działanie sklepu jako użytkownik niezalogowany oraz zalogowany. Zweryfikuj dodawanie produktów do koszyka, wyświetlanie jego zawartości, logowanie i wylogowywanie.
- Weryfikacja checkout. Przeprowadź testowe zamówienie, aby upewnić się, że aktualizacja nie zakłóciła przechodzenia do płatności i zapisywania zamówień.
W przypadku rozbudowanych instalacji warto dodatkowo przetestować bloki ESI utworzone dla zewnętrznych modułów, szczególnie jeżeli ich działanie opiera się na niestandardowych parametrach szablonów lub hookach.
Oficjalne informacje o poprawkach znajdują się w historii zmian LiteSpeed Cache for PrestaShop.
Dlaczego bezpieczeństwo pamięci podręcznej ma znaczenie w e-commerce?
Systemy cache są zwykle kojarzone przede wszystkim z wydajnością strony, czasem jej ładowania i ograniczaniem obciążenia serwera. W sklepach internetowych mają jednak także istotne znaczenie dla poprawnego rozdzielania informacji publicznych i danych przypisanych do konkretnego klienta.
Nieprawidłowe przetwarzanie dynamicznych fragmentów strony może powodować problemy bezpieczeństwa niezależnie od jakości zabezpieczeń samego silnika sprzedażowego.
Dlatego przedsiębiorstwa prowadzące sklepy internetowe powinny uwzględniać w procesie aktualizacji nie tylko podstawową platformę, lecz także moduły cache, integracje płatnicze, rozszerzenia obsługujące koszyk, systemy logowania i komponenty komunikujące się z zewnętrznymi usługami.
LiteSpeed Cache 1.6.2 stanowi przykład aktualizacji, w której zmiany dotyczą nie przyspieszania witryny, lecz ochrony mechanizmów odpowiedzialnych za przetwarzanie dynamicznych żądań.
LiteSpeed Cache 1.6.2 — najważniejsze zalecenie dla administratorów
Wydanie z 30 października 2026 roku wprowadza pięć poprawek bezpieczeństwa obejmujących obsługę adresów ESI, podpisywanie parametrów, filtrowanie argumentów i ograniczenie przetwarzania danych POST.
Administratorzy korzystający z LiteSpeed Cache for PrestaShop powinni zainstalować wersję 1.6.2, a następnie sprawdzić poprawność działania dynamicznych elementów sklepu.
Nie ma obecnie potwierdzenia masowych ataków wykorzystujących te problemy, ale producent wyraźnie zakwalifikował wydanie jako pilną aktualizację bezpieczeństwa.
Oficjalne ogłoszenie aktualizacji znajduje się również na forum LiteSpeed Technologies. Szczegółowe informacje o konfiguracji mechanizmu ESI są dostępne w dokumentacji technicznej modułu.