Si tienes una tienda PrestaShop, la pregunta no es qué versión de PrestaShop usas, sino qué PHP hay debajo. PHP2Shell es un fallo crítico en el propio PHP, y hoy la mayoría de tiendas con PrestaShop 1.6, 1.7 y 8.x corren sobre versiones de PHP que no tienen parche oficial.
Respuesta rápida:
- Estás protegido si tu servidor ejecuta PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 o superior, o una versión antigua con el parche aplicado por tu hosting (confirmado por escrito).
- Estás en riesgo si usas PHP 8.1, 8.0, 7.x o 5.x sin parche del proveedor. Eso incluye casi todas las tiendas con PrestaShop 1.6, 1.7 y 8.x, que dependen de parches no oficiales de su hosting.
- Actualizar PrestaShop o instalar un módulo de seguridad no lo soluciona. La solución está en el servidor.
La configuración recomendada hoy es PrestaShop 9.2 con PHP 8.5: versiones actuales, con soporte oficial y parches de seguridad directos de PHP.
En Kebes llevamos más de 15 años trabajando con PrestaShop y somos agencia PrestaShop Expert. Te explicamos qué ha pasado, cómo saber si tu tienda está expuesta, qué hacer hoy mismo y cómo enterarte a tiempo de la próxima vulnerabilidad.
Índice de contenidos
Qué es PHP2Shell
PHP2Shell es el nombre de dos vulnerabilidades críticas en el núcleo de PHP: CVE-2026-109618 y CVE-2026-109619, con una puntuación CVSS de 9,2 sobre 10. Permiten que un atacante, sin usuario ni contraseña, ejecute código en tu servidor con una sola petición web manipulada.
El fallo está en cómo PHP gestiona las subidas de archivos y la barra de progreso de sesión (session.upload_progress). Afecta a todas las versiones desde PHP 5.4, tanto en PHP-FPM como en Apache mod_php, LiteSpeed o FrankenPHP.
Lo que hace este caso especialmente grave:
- Se filtró antes del parche. Los identificadores circularon el 20 de octubre de 2026 y Amazon detectó intentos de explotación cuatro días antes de la publicación oficial.
- Ya se explota activamente. La agencia CISA de EE. UU. lo ha añadido a su catálogo de vulnerabilidades explotadas y Unit 42 estima más de 22 millones de servidores expuestos.
- Puede robar datos sensibles. Además de ejecutar código, permite leer la memoria de PHP: contraseñas, tokens y claves API, incluidas las de pasarelas de pago.
PHP publicó las versiones corregidas el 21 de octubre de 2026: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Para PHP 8.1 y anteriores no hay versión oficial, solo parches mínimos de código fuente para 7.4, 8.0 y 8.1.
Por qué afecta a PrestaShop (y por qué un módulo no lo arregla)
PrestaShop está escrito en PHP, así que hereda el fallo. El ataque se produce antes de que se ejecute una sola línea de PrestaShop, mientras PHP procesa la petición.
PrestaShop lo confirmó en su comunicado oficial del 21 de octubre: la vulnerabilidad no está ni en PrestaShop ni en sus módulos, no existe ningún parche de PrestaShop que instalar y la única solución completa es actualizar PHP en el servidor.
Esto tiene tres consecuencias prácticas:
- Actualizar PrestaShop no te protege. Tampoco actualizar módulos o el tema.
- Los módulos de seguridad no lo bloquean. Son código PrestaShop y se cargan demasiado tarde.
- Un WAF externo ayuda, pero no basta. Cloudflare u otro firewall frenan muchos intentos mientras parcheas, siempre que tu servidor no sea accesible directamente por IP. No sustituye la actualización de PHP.
Que los investigadores no hayan probado PrestaShop públicamente (sí WordPress, Magento, Drupal o Joomla) no significa que sea seguro: funciona sobre PHP exactamente igual.
Qué versiones de PrestaShop no son seguras frente a PHP2Shell
Lo ideal hoy es PrestaShop 9.2 con PHP 8.5. Solo la rama 9 de PrestaShop funciona sobre versiones de PHP que reciben parches oficiales. Todas las tiendas en PrestaShop 1.6, 1.7 y 8.x dependen de que su hosting parchee por su cuenta una versión de PHP que ya no tiene soporte.
| Versión de PrestaShop | PHP máximo compatible | ¿Parche oficial de PHP? | Nivel de riesgo |
|---|---|---|---|
| 9.2 (recomendada) | 8.5 | Sí, con PHP 8.5.12 o superior | Mínimo: configuración ideal |
| 9.1 | 8.5 | Sí, con PHP 8.5.12+ (o 8.4.27+, 8.3.36+, 8.2.35+) | Bajo si actualizas PHP |
| 9.0 | 8.4 | Sí, con PHP 8.4.27+ (o 8.3.36+, 8.2.35+) | Bajo si actualizas PHP |
| 8.0 a 8.2 | 8.1 | No. Solo parches no oficiales que cada hosting aplica a su manera | Alto |
| 1.7.8 | 7.4 | No. Solo parches no oficiales que cada hosting aplica a su manera | Alto |
| 1.7.0 a 1.7.7 | 7.3 aprox. | No, y PHP no publicó parche ni siquiera de código para estas ramas | Muy alto |
| 1.6.x | 7.1 aprox. | No, y PrestaShop 1.6 ya no recibe mantenimiento | Crítico |
Dos matices importantes:
- PHP 8.1 sigue siendo vulnerable aunque uses PrestaShop 9. Si tu tienda en 9.x corre en PHP 8.1, sube a 8.2 o superior.
- Un número de versión bajo no siempre significa vulnerable. Muchos proveedores (Debian, Ubuntu, CloudLinux, cPanel) aplican el parche sin cambiar el número. Hay que comprobarlo en el registro de cambios del paquete o pedir confirmación al hosting.
Ojo también con PHP 8.2: deja de tener soporte el 31 de diciembre de 2026.
PrestaShop 8.x: atrapado en PHP 8.1 y en los parches de tu hosting
PrestaShop 8.x funciona como máximo con PHP 8.1, una rama que PHP dejó de mantener. Para PHP2Shell no existe una versión oficial corregida de PHP 8.1: solo un parche mínimo de código que cada proveedor compila, empaqueta y aplica por su cuenta.
En la práctica esto significa:
- Cada hosting hace lo suyo. Unos aplican el parche oficial mínimo, otros versiones modificadas y otros nada. No hay forma estándar de comprobarlo desde fuera.
- El número de versión no te dice nada. Un PHP 8.1 parcheado y otro vulnerable pueden mostrar exactamente la misma versión.
- El problema se repetirá. Cada nueva vulnerabilidad de PHP dejará otra vez a las tiendas en PrestaShop 8 esperando a que su proveedor reaccione.
Por eso, más allá de PHP2Shell, la recomendación es planificar el salto a PrestaShop 9.2 con PHP 8.5 y no seguir dependiendo de parches no oficiales. Te lo explicamos paso a paso en nuestra guía para actualizar PrestaShop 1.6, 1.7 u 8.x a PrestaShop 9.2.
Cómo saber qué versión de PHP usa tu tienda PrestaShop
Lo puedes ver en un minuto desde el back office:
- Entra en el panel de administración de PrestaShop.
- Ve a Parámetros avanzados > Información.
- En el bloque de información del servidor verás la versión de PHP.
También lo encontrarás en tu panel de hosting (cPanel, Plesk, DirectAdmin) en el apartado de selección de PHP. Si tu versión es inferior a 8.2.35, 8.3.36, 8.4.27 u 8.5.12, pregunta a tu proveedor si ha aplicado el parche.
Qué hacer ahora para proteger tu tienda PrestaShop
La prioridad es tener un PHP parcheado hoy, no migrar de versión de PrestaShop con prisas.
- Pide confirmación por escrito a tu hosting. Pregunta si el parche de CVE-2026-109618 y CVE-2026-109619 está aplicado en la versión de PHP de tu tienda y si se han reiniciado los procesos de PHP.
- Si gestionas tu propio servidor, actualiza PHP. Instala los paquetes corregidos de tu distribución o de cPanel/CloudLinux y reinicia PHP-FPM, Apache o LiteSpeed. Un parche instalado pero no cargado no protege.
- Si usas PHP 8.1 o anterior, busca una build con backport. Debian, Ubuntu, RHEL/Rocky, CloudLinux y proveedores de soporte extendido han publicado paquetes corregidos para ramas antiguas.
- Cambia las credenciales críticas. Si tu servidor estuvo expuesto desde el 17 de octubre, rota contraseñas de administrador, claves API de pasarelas de pago y accesos a la base de datos.
- Revisa signos de intrusión. Archivos PHP nuevos o modificados, usuarios de administrador desconocidos y procesos extraños lanzados por PHP.
- Planifica la migración a PrestaShop 9.2 con PHP 8.5. No es una solución de emergencia, pero es la única forma de dejar de depender de parches no oficiales. Requiere revisar tema y módulos en un entorno de pruebas.
- Monitoriza tu tienda de forma continua. Con PrestaShield recibes un aviso cuando aparece una vulnerabilidad que afecta a tu tienda, como PHP2Shell, sin tener que seguir las noticias de seguridad.
Si tu hosting no puede confirmar un PHP parcheado y usas PHP 8.1 o anterior, CISA recomienda directamente poner el sistema en mantenimiento hasta que esté corregido.
Mitigaciones temporales mientras llega el parche
Estas medidas reducen el riesgo pero no lo eliminan. Son para equipos técnicos y conviene probarlas antes en un entorno de pruebas.
- Desactivar el progreso de subida de sesión. En
php.inio en el pool de PHP-FPM:session.upload_progress.enabled = 0. No funciona desde.user.inini conini_set(). En PrestaShop no rompe nada: las subidas de imágenes e importaciones siguen funcionando. - Bloquear el patrón en el WAF. Filtrar peticiones que contengan el campo
PHP_SESSION_UPLOAD_PROGRESScon ModSecurity o Cloudflare. - Reducir los límites de subida. Bajar
post_max_sizeyupload_max_filesizeayuda, pero revisa que sigan funcionando las imágenes de producto, la importación de CSV y la instalación de módulos.
Ocultar errores con display_errors no sirve de nada frente a PHP2Shell.
Cómo enterarte a tiempo de la próxima vulnerabilidad
PHP2Shell se explotaba antes de que muchos propietarios de tiendas supieran que existía. La diferencia entre un susto y una tienda infectada suele ser cuántas horas tardas en enterarte.
Para eso creamos PrestaShield, un servicio de monitorización de seguridad específico para PrestaShop:
- Avisos de vulnerabilidades (CVE) que afectan a tu versión de PrestaShop, tus módulos y tu entorno, como PHP2Shell y las que vengan.
- Escaneo de malware para detectar archivos infectados o modificados.
- Detección de e-skimming: código que roba las tarjetas de tus clientes en el checkout.
- Reglas WAF para frenar ataques conocidos mientras aplicas el parche.
PrestaShield te avisa; el mantenimiento PrestaShop de Kebes se encarga de actuar: aplicar parches, revisar el PHP del servidor con tu hosting, mantener módulos al día y planificar la migración a PrestaShop 9.2 con PHP 8.5.
Preguntas frecuentes sobre PHP2Shell y PrestaShop
¿Hay una actualización de PrestaShop para PHP2Shell?
No. PrestaShop ha confirmado que no existe parche propio. La solución es actualizar o parchear PHP en el servidor.
¿Mi tienda en PrestaShop 1.7 es vulnerable?
Probablemente sí, salvo que tu hosting haya aplicado el parche a PHP 7.4 o anterior. PrestaShop 1.7 no puede usar ninguna versión de PHP con corrección oficial.
¿Qué versión de PrestaShop y PHP debería tener?
Lo ideal es PrestaShop 9.2 con PHP 8.5. Si estás en 8.x o 1.7, primero asegura un PHP parcheado para tu versión actual y después planifica la migración con calma, revisando tema y módulos.
¿Por qué PrestaShop 8 no es suficiente?
Porque solo funciona hasta PHP 8.1, que ya no recibe parches oficiales. Tu seguridad depende de que tu hosting aplique a tiempo su propio parche, y eso se repetirá con cada nueva vulnerabilidad de PHP.
¿Un módulo de seguridad protege mi tienda?
No. El ataque ocurre antes de que PrestaShop cargue cualquier módulo. Un WAF externo sí ayuda como capa extra.
¿Cómo sé si ya me han atacado?
Busca archivos PHP nuevos en carpetas como /img/ o /upload/, administradores desconocidos, cambios en el checkout y picos de errores 500. Ante la duda, pide una auditoría de seguridad.
¿Cómo me entero de la próxima vulnerabilidad?
Con un servicio de monitorización como PrestaShield, que te avisa cuando aparece un fallo que afecta a tu tienda, y un plan de mantenimiento que lo corrija antes de que te ataquen.
¿Afecta también a WordPress y WooCommerce?
Sí. Afecta a cualquier web en PHP, sin importar el CMS. Si tienes una web WordPress o una tienda WooCommerce, lo explicamos en PHP2Shell en WordPress y WooCommerce: qué hacer ya.
Protege tu tienda PrestaShop con Kebes
En Kebes somos agencia PrestaShop Expert con más de 15 años trabajando con PrestaShop, desde la 1.6 hasta la 9.2. Te ofrecemos dos formas de no volver a pasar por esto:
- PrestaShield: monitorización de seguridad que te avisa de vulnerabilidades como PHP2Shell, detecta malware y skimming, y añade reglas WAF.
- Mantenimiento PrestaShop: revisamos el PHP de tu servidor, aplicamos parches y mitigaciones sin romper nada, mantenemos módulos al día y te llevamos a PrestaShop 9.2 con PHP 8.5 de forma segura.
¿No sabes si tu tienda está expuesta? Activa PrestaShield o contrata el mantenimiento PrestaShop y lo revisamos.