¿Afecta a PrestaShop la vulnerabilidad de PHP?
Sí.
PrestaShop funciona con PHP, así que todas las tiendas PrestaShop están afectadas hasta que se actualice su versión de PHP.
Dónde ver tu versión de PHP: Parámetros avanzados → Información.
Comprueba tu sitio web
¿No sabes si tu sitio web funciona con PrestaShop? Nuestra comprobación gratuita busca PHP en unos segundos.
Qué deben hacer los propietarios de sitios con PrestaShop
- 01
Averigua quién se encarga de tu sitio web
Suele ser un proveedor de hosting, un desarrollador o una agencia. Formas de averiguarlo:
- busca en tus facturas y extractos bancarios una empresa de hosting o una agencia web
- busca en tu correo “hosting”, “dominio” o el nombre de quien creó tu sitio web
LISTO CUANDOsabes a quién contactar.
- 02
Envíales hoy el mensaje de abajo
El mensaje explica lo que hay que hacer: actualizar PHP a una versión corregida. Pídeles que te respondan cuando esté hecho.
LISTO CUANDOte han respondido que se están ocupando de ello.
- 03
Pide confirmación de que está corregido
Pídeles que confirmen que tu sitio web ya funciona con una versión de PHP corregida (como mínimo 8.2.35, 8.3.36, 8.4.27 u 8.5.12, según la versión que use). Pregunta también por otros sitios web o sistemas que gestionen para ti.
LISTO CUANDOtienes esa confirmación por escrito.
- 04
Comprueba que tu sitio web sigue funcionando
Abre tu página de inicio y prueba el formulario de contacto, el inicio de sesión y el proceso de compra. Si algo ha dejado de funcionar tras pasar a una versión más nueva de PHP, actualiza PrestaShop junto con sus módulos, o pregunta a tu desarrollador.
LISTO CUANDOtus páginas importantes funcionan como antes.
- 05
Si no se puede corregir hoy
Pide a quien se encarga de tu sitio web que aplique las medidas temporales de PHP hasta que la corrección esté instalada; aparecen en la sección para desarrolladores, más abajo. Si tampoco es posible pronto, el NCSC británico recomienda plantearse desconectar el sitio web: mientras tanto, tu proveedor de hosting puede mostrar una página de mantenimiento.
- 06
Haz que revisen tu sitio web en busca de intrusiones
Pide a tu proveedor de hosting o a tu desarrollador que lo revise, sobre todo si la corrección tardó más de un día. Señales que puedes detectar tú mismo:
- cuentas de administrador que no reconoces
- páginas, enlaces o archivos que no has añadido
- visitantes redirigidos a otros sitios web
- un aviso en Google como “Es posible que este sitio haya sido pirateado”
LISTO CUANDOlo han revisado y no han encontrado nada, o lo han limpiado.
Envía esto a tu proveedor de hosting o tu desarrollador
Cópialo en un correo electrónico o en una solicitud de soporte.
Asunto: Urgente: vulnerabilidad crítica en PHP (CVE-2026-109618 / CVE-2026-109619) Hola: El 21 de octubre de 2026 se publicó una vulnerabilidad crítica en PHP (CVE-2026-109618 y CVE-2026-109619). Puede permitir que un atacante tome el control de un servidor web sin necesidad de iniciar sesión. INCIBE-CERT, el equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad, recomienda actualizar de inmediato: https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-php Nuestro sitio web funciona con PrestaShop, que usa PHP. Les pido, por favor, que: 1. Me indiquen qué versión de PHP usan nuestro sitio web y cualquier otro sistema que gestionen para nosotros. 2. Actualicen a una versión de PHP corregida (como mínimo 8.5.12, 8.4.27, 8.3.36 u 8.2.35, según la rama). Si hace falta una versión de PHP más nueva, actualicen antes PrestaShop junto con sus módulos. 3. Si no es posible actualizar de inmediato, apliquen las medidas temporales del proyecto PHP (https://www.php.net/) o desconecten el sitio hasta que esté corregido. 4. Revisen el servidor en busca de cualquier señal de intrusión. Les agradecería que me avisaran cuando esté hecho. ¡Muchas gracias!
Para tu desarrollador o tu proveedor de hosting: qué hacer, paso a paso+
- 1.
Localiza todas las instalaciones de PHP que sirven un sitio web
Revisa el PHP que ejecuta el servidor web, no solo el de la línea de comandos:
php -ven un terminal puede mostrar otra versión. Incluye todas las formas en que PHP funciona detrás de un sitio web (PHP-FPM detrás de Nginx o Apache, el mod_php integrado en Apache, LiteSpeed, FrankenPHP), y no olvides los contenedores, los entornos de pruebas y otros servidores. - 2.
Actualiza a una versión corregida
Corregido en 8.5.12, 8.4.27, 8.3.36 y 8.2.35 (una por cada versión con soporte). Usa los paquetes de tu sistema operativo, una imagen base de contenedor más reciente o el panel de tu hosting. PHP 8.1 y anteriores ya no reciben correcciones: pasa a una versión con soporte.
- 3.
Reinicia PHP
Reinicia PHP-FPM, Apache o LiteSpeed después de actualizar. Los procesos que ya están en marcha siguen usando el código antiguo y vulnerable hasta que se reinician.
- 4.
Comprueba que la corrección está realmente activa
Confirma la versión que usa el propio sitio web, por ejemplo con una página
phpinfo()temporal que elimines después. Algunas distribuciones de Linux corrigen fallos de seguridad sin cambiar el número de versión: en ese caso, comprueba que el registro de cambios del paquete menciona CVE-2026-109618 y CVE-2026-109619. - 5.
¿Aún no puedes actualizar? Aplica las medidas temporales
php.net indica medidas temporales que reducen el riesgo hasta que puedas actualizar. Entre ellos: fija
memory_limit=-1en la configuración del servidor para que los scripts no puedan cambiarlo (así se evita la falta de memoria en la que se basa el ataque; vigila el uso de memoria), reduce los límites de tamaño de las peticiones y subidas, y fijasession.upload_progress.enabled=0. Reinicia PHP después. Estos ajustes reducen el riesgo, pero no sustituyen a la actualización. - 6.
Busca señales de intrusión
Busca archivos PHP añadidos o modificados desde el 21 de octubre de 2026, cuentas de administrador que nadie reconoce, tareas programadas nuevas (cron jobs), procesos o conexiones salientes inesperados, y errores de falta de memoria en los registros de PHP. Si algo no cuadra: restaura una copia de seguridad limpia, cambia todas las contraseñas y claves (incluidas las de la base de datos) e informa al propietario del sitio web.
- 7.
Después: deja de anunciar la versión de PHP
Configura
expose_php = Off, para que las respuestas ya no incluyan una cabeceraX-Powered-By: PHP/…que indica a los atacantes qué versión usas.
Gravedad: 9,2 sobre 10 (CVSS 4.0). CVE-2026-109618 (ejecución remota de código por corrupción al agotarse la memoria) · CVE-2026-109619 (ejecución remota de código por estado global obsoleto)
Conviene saber
- En el panel de administración, ve a Parámetros avanzados → Información para ver tu versión de PHP, junto con los datos de tu tienda y de tu servidor. Fuente ↗
- PrestaShop 9 funciona con PHP 8.1 hasta 8.4 (9.0) u 8.5 (9.1). Actualiza PrestaShop y sus módulos antes de pasar a una versión más nueva de PHP. Fuente ↗
Preguntas frecuentes
¿Actualizar PrestaShop corrige la vulnerabilidad de PHP?
La corrección está en el propio PHP, que funciona por debajo del software de tu sitio web. Actualizar el software y sus complementos es una buena práctica, pero no corrige esta vulnerabilidad: también hay que actualizar PHP.
¿Cómo veo qué versión de PHP usa mi tienda?
Ve a Parámetros avanzados → Información en el panel de administración.
¿Están en riesgo los datos de mis clientes?
El fallo puede permitir a un atacante tomar el control del servidor en el que funciona tu tienda, lo que podría exponer pedidos y datos de clientes. Actualiza PHP cuanto antes y haz que revisen el servidor en busca de señales de intrusión.
Más: Cómo saber si tu sitio web usa PHP · La vulnerabilidad de PHP de octubre de 2026, explicada
Otras plataformas: WordPress · WooCommerce · Joomla · Drupal · Magento · TYPO3 · Shopify · Wix · Squarespace