En resumen: la vulnerabilidad de PrestaShop que ahora es noticia es PHP2Shell y está en PHP, no en la tienda. Una actualización de PrestaShop no ayuda contra ella. Tras el parche de PHP y el reinicio, debería revisar la carpeta override, los módulos, el checkout y las cuentas de empleados.
Qué significa PHP2Shell para los comerciantes con PrestaShop
PrestaShop es una aplicación PHP muy extendida entre pequeños y medianos comerciantes, a menudo en hosting compartido o en vServers sencillos. Según el equipo de PHP, las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 permiten ejecutar código malicioso de forma remota y sin autenticación, con independencia del estado de la tienda.
En una tienda hay mucho en juego: cuentas de clientes, direcciones, pedidos, facturas y accesos a servicios de pago y de envío. En las tiendas, los atacantes suelen apuntar al checkout, donde pueden leer los datos de pago introducidos antes de que lleguen al proveedor de pago.
A ello se suma el factor tiempo. Según informes de medios, se observó un primer intento de ataque el 17/10/2026 y los parches aparecieron el 21/10/2026. Una tienda que estuvo accesible en ese periodo puede estar afectada, aunque hoy todo parezca normal. Hasta ahora no hay indicadores de compromiso confirmados; los indicios surgen de comportamientos inusuales, archivos nuevos y cambios en la base de datos.
Vulnerabilidad de PrestaShop: comprobar la versión de PHP en el Back Office
En Parámetros avanzados > Información, PrestaShop muestra datos del servidor y de PHP sobre la instalación en ejecución. Las versiones corregidas de origen son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los proveedores de hosting aplican a veces las correcciones como backport, y entonces el número mostrado no cambia. Pida que le confirmen el estado por escrito.
Qué versiones de PHP admite su versión de PrestaShop puede consultarlo, según los requisitos del sistema, en la documentación del fabricante en prestashop.com. Las tiendas más antiguas de las versiones 1.6 y 1.7 suelen funcionar con versiones de PHP antiguas; en ese caso rige lo que figura en Medidas inmediatas sin parche hasta que sea posible una actualización.
Escondites típicos del código malicioso en PrestaShop
| Lugar | Contenido | Punto de control |
|---|---|---|
app/config/parameters.php (versiones antiguas config/settings.inc.php) |
Acceso a la base de datos, clave de cookies | Fecha de modificación; renovar ante una sospecha |
override/ |
Clases y controladores sobrescritos | Cada archivo debe poder explicarse |
modules/ |
Módulos del marketplace y de terceros | Módulos desconocidos, archivos modificados |
themes/ |
Plantillas y JavaScript, también para el checkout | Scripts ajenos |
img/, upload/, download/ |
Imágenes, subidas de clientes, productos digitales | Sin archivos PHP |
var/cache/, var/logs/ |
Caché y registros | Guardar los registros, regenerar la caché |
install/ |
Carpeta de instalación | No debe existir en producción |
La carpeta override merece especial atención. El código depositado allí sustituye partes de PrestaShop, por ejemplo la gestión de pedidos o de pagos, y no se elimina automáticamente con las actualizaciones.
Comprobaciones inofensivas en la línea de comandos y en la base de datos (prefijo de tabla según la instalación):
find override -name "*.php" -newermt "2026-10-17"
find img upload download -type f -name "*.php"
ls -d admin*
SELECT email, firstname, lastname, active FROM ps_employee;
Si los clientes informan de páginas de pago inusuales o de uso indebido de tarjetas tras una compra, desconecte el checkout y guarde los registros a partir del 20/10/2026. Un checkout manipulado puede capturar datos en cada compra posterior.
Back Office, cuentas de empleados y módulos
El Back Office está en un directorio con nombre individual que se asigna durante la instalación. Revise en Parámetros avanzados las cuentas de empleados y los perfiles en busca de accesos desconocidos o huérfanos, por ejemplo de agencias anteriores. Si es posible, restrinja el directorio de administración a redes conocidas.
Los módulos del marketplace y de terceros amplían el pago, el envío, el marketing y las interfaces. Cada módulo es código PHP adicional, y los módulos sin mantenimiento activo figuran entre las puertas de entrada más frecuentes en las tiendas PrestaShop. Desinstale y borre lo que no use, en lugar de solo desactivarlo. También debería revisar las claves de webservice de la API en busca de entradas desconocidas.
Lo que puede y no puede hacer una actualización de PrestaShop
Una actualización de PrestaShop o de módulos concretos cierra errores en ese código. No parchea PHP, no reinicia procesos y no elimina ni los overrides, ni los módulos ajenos, ni los scripts del tema, ni las nuevas cuentas de empleados. Si se han capturado datos personales, además puede existir una obligación de notificación; ofrece información general Obligación de notificación del RGPD: 72 horas, y la valoración en cada caso la realiza su delegado de protección de datos. Lo que deberían tener en cuenta además los comerciantes se resume en Seguridad informática para tiendas online.
En las tiendas con varios países o con función multitienda, a menudo varios dominios funcionan sobre la misma instalación. Un hallazgo afecta entonces a todas las tiendas, aunque la anomalía solo se haya notado en una.
¿Cómo ayuda PHP SOS en concreto?
- Aclaramos con su proveedor de hosting el estado de PHP, el backport y el reinicio.
- Guardamos registros, archivos y base de datos y documentamos el estado inicial.
- Revisamos overrides, módulos, tema, carpetas de subida, cuentas de empleados y claves de webservice.
- Si encontramos algo, nuestra eliminación de malware se encarga de la limpieza y de la renovación de los accesos.
Preguntas frecuentes
¿Cierra una actualización de PrestaShop la vulnerabilidad PHP2Shell?
No. Las actualizaciones de PrestaShop corrigen errores en el código de la tienda. Las vulnerabilidades de PHP2Shell están en el intérprete de PHP y solo se cierran con una actualización de PHP o un backport confirmado, con reinicio de todos los procesos de PHP.
¿Dónde veo la versión de PHP en PrestaShop?
En el Back Office, en Parámetros avanzados > Información. Allí figuran los datos del servidor y de PHP. Un backport aplicado no se reconoce por el número; lo confirma su proveedor de hosting.
¿Qué es la carpeta override y por qué revisarla?
En la carpeta override se pueden sobrescribir clases y controladores de PrestaShop. El código que hay allí se ejecuta en lugar del original, por ejemplo en el checkout. Por eso, los overrides desconocidos son un punto de control importante ante una sospecha.
¿Debe estar renombrado el directorio de administración?
PrestaShop asigna durante la instalación un nombre propio al directorio de administración. Eso dificulta encontrarlo, pero no sustituye a las contraseñas robustas, la autenticación en dos pasos ni la restricción de acceso.