¿Tu tienda online funciona con PrestaShop? Entonces hay una parte de su seguridad que conviene revisar cuanto antes: la versión de PHP que utiliza el servidor.
El pasado 21 de octubre de 2026, el equipo de seguridad de PHP publicó una actualización de emergencia para corregir dos vulnerabilidades críticas, ambas con una puntuación de gravedad de 9,2 sobre 10.
Los fallos pueden permitir que un atacante ejecute código en el servidor sin necesidad de identificarse con un usuario y una contraseña. En una tienda online, esto podría comprometer información, alterar archivos o afectar al funcionamiento del ecommerce.
La corrección ya está disponible. Ahora, lo importante es comprobar si el PHP de tu servidor incorpora el parche y aplicarlo si todavía está pendiente.
¿Qué es PHP y por qué afecta a tu tienda online?
Es una de las tecnologías sobre las que funciona PrestaShop. Se ejecuta en el servidor y permite procesar buena parte de las operaciones de la tienda.
Aunque no lo veas en el catálogo, en las fichas de producto o en el diseño, forma parte de la base técnica que hace posible que tu ecommerce funcione.
Y aquí está la diferencia importante: esta alerta no corresponde a un fallo de un módulo o de una versión concreta de PrestaShop, sino del propio PHP. También afecta a otras aplicaciones que utilizan esta tecnología, como WordPress, WooCommerce o desarrollos a medida.
Por eso, tener PrestaShop actualizado no garantiza, por sí solo, que el servidor esté protegido frente a estas vulnerabilidades.
¿Qué se ha confirmado?
El aviso oficial identifica dos vulnerabilidades: CVE-2026-109618 y CVE-2026-109619.
Ambas están relacionadas con la gestión interna de la memoria de PHP al procesar las peticiones que recibe el servidor. Dicho de forma sencilla, una petición preparada por un atacante puede aprovechar esos errores para ejecutar código que no debería.
PHP advierte de que el riesgo afecta a las instalaciones que atienden peticiones web y considera especialmente elevado el de Apache con mod_php, donde existe una explotación demostrada que se activa antes de que se ejecute el código de la aplicación.
Esto explica por qué la solución no consiste en instalar un módulo de seguridad en PrestaShop, sino que hay que corregir PHP en el servidor.
¿Qué versiones incluyen la corrección?
Las versiones publicadas para resolver estos fallos son:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Si tu servidor utiliza alguna de estas ramas, debe incorporar la versión corregida correspondiente o un paquete de tu proveedor que incluya los parches.
Con las versiones antiguas hay un matiz importante. PHP 8.1 y anteriores ya no reciben actualizaciones oficiales del proyecto, pero algunas distribuciones y proveedores ofrecen correcciones adaptadas a esas ramas.
Además, dada la gravedad del caso, el equipo de PHP ha facilitado el código de la corrección para PHP 7.4, 8.0 y 8.1.
Esto no significa que todos los servidores antiguos estén protegidos automáticamente. Hay que confirmar con el proveedor si la corrección está disponible y si se ha instalado.
Qué hacer ahora si tienes una tienda PrestaShop
La prioridad es resolver la exposición sin provocar problemas de compatibilidad en la tienda.
- Comprueba qué PHP utiliza realmente tu ecommerce
Identifica la versión que ejecuta la web y quién administra el servidor. Si tienes varias tiendas o entornos de pruebas, revisa cada uno porque no tienen por qué utilizar la misma configuración. - Pide una confirmación concreta a tu hosting
No basta con saber que el servidor tiene mantenimiento. Pregunta si el PHP que utiliza tu tienda incluye la corrección de las dos vulnerabilidades
Algunos proveedores incorporan parches sin cambiar el número principal de versión. Por eso, la confirmación debe referirse a la corrección aplicada, no solo a la versión que aparece en el panel. - Revisa la compatibilidad antes de cambiar de rama
Actualizar PHP no consiste en seleccionar la versión más alta disponible.
La versión de PrestaShop, los módulos, el tema y las personalizaciones deben ser compatibles con ella. Una actualización de seguridad dentro de una rama y un salto a otra versión de PHP son intervenciones diferentes.
Prepara una copia de seguridad y un procedimiento de recuperación, y valida los cambios en un entorno de pruebas siempre que sea posible, sin retrasar innecesariamente la corrección. - Verifica los procesos importantes después de actualizar
Comprueba el acceso al backoffice, el catálogo, el carrito, los pagos, los transportes y las integraciones con otros sistemas.
Si el proyecto utiliza contenedores, también es necesario reconstruir y desplegar las imágenes con PHP corregido. Actualizar únicamente el servidor que los aloja no modifica lo que contienen.
¿Y si todavía no puedes actualizar?
PHP ha publicado medidas temporales que reducen algunas vías de ataque, pero insiste en algo fundamental y es que ninguna sustituye a la actualización.
Entre ellas están desactivar determinadas funciones relacionadas con el progreso de subida de archivos y limitar el tamaño de las peticiones. Su aplicación depende de la configuración del servidor y debe realizarla el equipo técnico o el proveedor de hosting.
No se trata de copiar ajustes sin revisar sus consecuencias, sino de reducir la exposición mientras se aplica la corrección.
También conviene vigilar archivos PHP inesperados, cambios no autorizados en el proceso de compra, nuevas cuentas de administración o procesos del servidor que ejecuten comandos inusuales. Son señales que deben investigarse, no pruebas de un ataque por sí solas.
La seguridad de tu ecommerce también está en lo que no se ve
Una tienda puede seguir recibiendo pedidos y, aun así, necesitar una intervención urgente en su base técnica.
Como explicábamos al hablar de la importancia de mantener PrestaShop actualizado, el mantenimiento no se limita al CMS, también incluye PHP, el servidor, los módulos y las integraciones que sostienen el negocio.
En Difadi.com trabajamos como partner tecnológico de tu ecommerce, revisando esos elementos de forma conjunta para que las actualizaciones se planteen con criterio y los cambios se validen antes de llegar a producción.
¿No sabes si tu servidor incorpora la corrección o cómo actualizar PHP sin afectar a tu tienda?
En Difadi.com te ayudamos a optimizar y escalar tu proyecto con soluciones técnicas reales. Escríbenos o llámanos y hablamos de tu caso.
📞 947 06 26 26
📩 info@difadi.com
