Vulnerabilidad de PHP del 21 de octubre de 2026: ¿está expuesta tu tienda PrestaShop?

Sí, todas las tiendas PrestaShop están afectadas, porque la vulnerabilidad está en PHP, no en PrestaShop. El 21 de octubre de 2026, el proyecto PHP corrigió dos vulnerabilidades críticas, apodadas PHP2Shell, que permiten ejecutar código a distancia sin autenticarse. Las versiones corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Pero, según la documentación oficial de PrestaShop, solo PrestaShop 9 funciona con esas ramas de PHP. Una tienda en 1.6, 1.7 u 8 no puede recibir una versión de PHP corregida oficialmente.

¿Qué permite la vulnerabilidad PHP2Shell?

Las dos vulnerabilidades son CVE-2026-109618 y CVE-2026-109619, y el proyecto PHP les da a cada una una nota de 9,2 sobre 10 (CVSS v4.0). La primera procede de la gestión de la falta de memoria, que puede interrumpir PHP mientras prepara una petición; la segunda, de un estado interno que sobrevive a la memoria que lo contenía. En ambos casos, el aviso de seguridad de PHP habla de ejecución de código a distancia por un atacante no autenticado.

En la práctica, alguien sin ninguna cuenta en tu tienda puede hacer que ejecute sus propias instrucciones. En una tienda, eso significa acceso a los archivos y a la base de datos, y por tanto a las cuentas de clientes y a los pedidos, y la posibilidad de modificar las páginas, incluida la de pago.

El proyecto PHP precisa que todas las instalaciones de PHP que sirven páginas web están expuestas, sea cual sea el modo de funcionamiento: PHP-FPM, Apache con mod_php, donde el riesgo es mayor, php-cgi, FrankenPHP o LiteSpeed. Actualizar PrestaShop o sus módulos no cambia nada: el problema es el intérprete.

¿Ya se está explotando la vulnerabilidad?

Las fuentes no dicen todas lo mismo, y hay que decirlo tal cual. Los detalles se filtraron antes de la fecha prevista, lo que llevó al proyecto PHP a anunciar el parche el 20 de octubre para publicarlo al día siguiente. La empresa de seguridad watchTowr dice haber observado intentos de explotación desde el 21 de octubre en sus trampas para atacantes. Según la misma fuente, la agencia estadounidense CISA aún no había añadido estas vulnerabilidades a su catálogo de vulnerabilidades explotadas el 22 de octubre, y el Centro Canadiense de Ciberseguridad señala una prueba de concepto pública, sin explotación activa constatada por su parte.

Las agencias públicas no corren riesgos. El Centro Nacional de Ciberseguridad británico (NCSC) pide actualizar y, si ni la actualización ni los ajustes temporales pueden aplicarse rápido, plantearse desconectar el sitio hasta corregirlo. El Centro Canadiense de Ciberseguridad publicó una alerta el 21 de octubre que recomienda aplicar las actualizaciones sin esperar.

¿Qué versiones de PrestaShop pueden usar un PHP corregido?

Cada versión de PrestaShop solo acepta un rango de versiones de PHP. Al cruzar las tablas de compatibilidad de PrestaShop con el aviso de PHP y el análisis de watchTowr, se obtiene esto:

Para PHP 7.3 y versiones anteriores, PHP 5 incluido, watchTowr confirma que están afectadas y que no existe ningún parche. Para PHP 7.4, 8.0 y 8.1, el proyecto PHP ya no publica versiones, pero ha subido parches mínimos a su código fuente. Aplicarlos exige recompilar PHP, algo que hace un proveedor de alojamiento o una distribución Linux que mantiene esas ramas antiguas, no un comerciante.

El caso de las tiendas en PrestaShop 8 es el que más sorprende. La 8 parece reciente, pero se detiene en PHP 8.1, que el proyecto PHP ya no mantiene. Queda en la misma situación que la 1.7.8: protegida solo si el proveedor de alojamiento ha aplicado un parche por su cuenta.

¿Qué hacer esta semana?

Comprueba tu versión de PHP. En el back office de PrestaShop, la página Parámetros Avanzados > Información muestra la versión de PHP del servidor. Anótala junto con tu versión de PrestaShop y busca tu fila en la tabla.

Escribe a tu proveedor de alojamiento. Pregúntale si tu versión de PHP ha recibido el parche de las vulnerabilidades CVE-2026-109618 y CVE-2026-109619, y en qué fecha. En alojamiento compartido, es él quien gestiona PHP, y su respuesta lo decide todo. Una respuesta vaga no es un sí.

Si estás en PrestaShop 9, pasa a PHP 8.2.35, 8.3.36, 8.4.27 u 8.5.12 según tu versión y reinicia PHP. El proyecto PHP es claro: actualizar es la única opción segura.

Si la actualización no puede hacerse enseguida, el aviso de PHP enumera ajustes temporales que debe aplicar tu proveedor o quien gestione el servidor: memory_limit, post_max_size y, sobre todo, session.upload_progress.enabled=0, que cubre también una tercera vulnerabilidad anunciada el 23 de octubre, CVE-2026-115560. PHP lo dice: estos ajustes no hacen segura una instalación, reducen el riesgo mientras tanto.

Vigila la tienda. La misma página Información enumera los archivos modificados respecto a la instalación original: échale un vistazo. Un archivo PHP desconocido en las carpetas del sitio, una cuenta de administrador que no has creado, una página de pago modificada: son señales de una intrusión. Ante la menor duda, se aplica el consejo del NCSC, y una tienda cerrada unas horas cuesta menos que una base de clientes en manos ajenas.

¿Hay que rehacer la tienda después de PHP2Shell?

Si tu tienda no está en la 9, sí, hay que planificarlo. PHP2Shell muestra con toda claridad lo que significa funcionar con una versión de PHP que ya nadie mantiene: el día que sale la vulnerabilidad, no hay parche que instalar. Una 1.6 funciona con un PHP abandonado desde diciembre de 2019, una 1.7.8 con un PHP abandonado desde noviembre de 2022, una 8 con un PHP 8.1 que ya no tiene nuevas versiones. Lo mismo valdrá para la próxima vulnerabilidad.

Y el reloj corre para todos: PHP 8.2 dejará de recibir parches el 31 de diciembre de 2026. Una tienda en PrestaShop 9 que funcione con PHP 8.2 también tendrá una actualización de PHP que prever en los próximos dos meses.

El camino depende del punto de partida. Desde una 1.6, el módulo oficial de actualización impone dos pasos, de la 1.6 a la 1.7 y después de la 1.7 a la 9; hay que revisar módulos y tema en cada paso, y también las URL que proteger para no perder el posicionamiento. Desde una 8, el salto es más corto. En todos los casos se prepara en semanas, no en días, de ahí el interés de empezar el inventario ahora, mientras el proveedor de alojamiento mantiene la tienda a flote. El detalle, versión por versión, está en nuestro artículo sobre la 1.6: mantener o rehacer.

¿No sabes dónde se sitúa tu tienda, o cuánto costaría pasar a la 9? Escríbenos con la dirección de la tienda, su versión de PrestaShop y la de PHP: te respondemos con un plan de actualización y su alcance.

FAQ

¿Ha publicado PrestaShop un parche para PHP2Shell? No, y no le corresponde: la vulnerabilidad está en PHP, no en PrestaShop. Actualizar PrestaShop o sus módulos no la corrige. Solo la actualización de PHP, o un parche aplicado por el proveedor de alojamiento, protege la tienda.

¿Es vulnerable a PHP2Shell mi tienda PrestaShop 1.6? Sí. La 1.6.1 no acepta un PHP más reciente que el 7.1, y ninguna versión de PHP 7.3 o anterior tiene parche, según watchTowr. La protección depende por completo de tu proveedor, y la única salida duradera es la migración.

¿Está a salvo PrestaShop 8? No por defecto. Las versiones 8.0 a 8.2 de PrestaShop se detienen en PHP 8.1, que el proyecto PHP ya no mantiene; solo existe un parche mínimo en el código fuente, que debe aplicar el proveedor. Hace falta PrestaShop 9 para funcionar con una versión de PHP corregida oficialmente.

¿Cómo sé si mi proveedor ha corregido PHP? Pregúntale por escrito si tu versión de PHP incluye los parches de CVE-2026-109618 y CVE-2026-109619. La versión que aparece en Parámetros Avanzados > Información debe ser al menos 8.2.35, 8.3.36, 8.4.27 u 8.5.12; por debajo, solo el proveedor puede confirmar que se ha aplicado un parche retroportado.

¿Hay que cerrar la tienda? No necesariamente. El NCSC británico aconseja plantearse la desconexión solo si la actualización y los ajustes temporales no pueden aplicarse rápido. Si tu proveedor confirma el parche, la tienda puede seguir abierta.