El 21 de octubre de 2026, el proyecto PHP lanzó correcciones para dos vulnerabilidades críticas en el propio PHP. Ambas tienen una calificación CVSS 9.2, y los investigadores que las descubrieron las denominan php2shell. El problema no está en PrestaShop ni en ningún módulo, pero como todas las tiendas PrestaShop funcionan con PHP, afecta prácticamente a todas las tiendas. A continuación: qué está pasando, qué versiones de PHP están corregidas y qué debe hacer hoy.
¿Cuál es el problema?
Las dos vulnerabilidades se encuentran en el motor de ejecución de PHP, la capa que se ejecuta antes del propio código de PrestaShop. Según el anuncio, un atacante puede utilizarlas para bloquear procesos de PHP, leer datos confidenciales o, en el peor de los casos, ejecutar código en su servidor sin iniciar sesión.
- CVE-2026-109618: cuando PHP se queda sin memoria, los datos de la solicitud pueden quedar medio inicializados, y la limpieza posterior trata esos datos incompletos como válidos.
- CVE-2026-109619: el estado de una solicitud interna puede sobrevivir después de que su memoria haya sido liberada, por lo que una solicitud posterior en el mismo trabajador de PHP puede utilizar ese estado obsoleto.
Todas las instalaciones de PHP que atienden solicitudes web están en riesgo: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. El riesgo es mayor con mod_php.
¿Por qué una actualización de PrestaShop no ayuda?
Actualizar PrestaShop o sus módulos no soluciona esto. La protección dentro de la aplicación no puede detener un ataque que ocurre antes de que se ejecute el código de la aplicación. La única solución real es una versión actualizada de PHP en su servidor.
¿Qué versiones de PHP están corregidas?
| Rama de PHP | Versión corregida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Para PHP 7.4, 8.0 y 8.1, el proyecto PHP ha publicado backports mínimos. Tenga en cuenta que las distribuciones de Linux a veces aplican el parche sin cambiar el número de versión, por lo que una versión que parezca más antigua aún puede estar parcheada. Por eso debe pedir confirmación a su proveedor de hosting en lugar de guiarse solo por el número.
Qué debe hacer ahora
1. Compruebe su versión de PHP
En el back-office de PrestaShop, vaya a Parámetros avanzados > Información. Allí verá en qué versión de PHP se ejecuta su tienda.
2. Pida a su proveedor de hosting una confirmación por escrito
Contacte con su proveedor de alojamiento y pregunte si el parche para CVE-2026-109618 y CVE-2026-109619 se ha aplicado a su servidor. Solicite la respuesta por escrito.
3. ¿Gestiona su propio servidor?
- Instale los paquetes de PHP actualizados desde su distribución o desde las versiones oficiales de PHP.
- Reinicie todos los procesos de PHP: pools de PHP-FPM, Apache, LiteSpeed y trabajadores de FrankenPHP. Una actualización que está instalada pero no cargada no le protege.
- El día del lanzamiento, el proyecto PHP desaconsejó esperar al repositorio gestionado por voluntarios
rpms.remirepo.nety recomendó paquetes de distribución o compilar desde el código fuente. - ¿Utiliza Docker? Reconstruya sus imágenes sobre la imagen base actualizada y vuelva a desplegarlas.
4. ¿Sigue en PHP 8.1 o anterior?
Pregunte a su proveedor si su versión de PHP ha sido parcheada. Actualizar PrestaShop a una versión compatible con PHP más nuevo es una tarea separada a más largo plazo, no una solución de emergencia. Para la planificación: PrestaShop 9 es compatible con PHP 8.1 hasta 8.5, y PHP 8.2 llega al fin de su vida útil el 31 de diciembre de 2026. Las tiendas PrestaShop 1.7 y 8.x suelen funcionar todavía con PHP 7.x u 8.1.
Medidas temporales si aún no puede actualizar
Estas medidas están pensadas para equipos técnicos. Pruébelas primero en una copia de ensayo; reducen el riesgo pero no reemplazan la actualización de PHP.
Para CVE-2026-109618:
- Reduzca
post_max_size: el aviso sugiere8Msi su tienda no acepta subidas y32Msi lo hace. Mantengaupload_max_filesizepor debajo de ese valor. - Aplique también límites de tamaño de solicitud en su servidor web o proxy inverso.
Para CVE-2026-109619:
- Configure
session.upload_progress.enabled=0enphp.ini, el pool de PHP-FPM o la configuración del servidor, y reinicie todos los trabajadores.ini_set()o.user.inino es suficiente. - En PHP 8.5, configure también
fatal_error_backtraces=0y reinicie los trabajadores.
Ocultar errores con error_reporting, display_errors o @ no ayuda. La lista completa de medidas se encuentra en el aviso de seguridad oficial de PHP.
¿Ayuda un cortafuegos de aplicaciones web (WAF)?
Cloudflare ha desplegado reglas de WAF dedicadas para php2shell, activas por defecto desde el 21 de octubre. En un plan de pago, compruebe que el conjunto de reglas gestionadas esté configurado en block. Tenga en cuenta que un WAF solo protege el tráfico que pasa a través de él: asegúrese de que su servidor solo acepta tráfico web de su proveedor de WAF. Un WAF es una capa adicional, no un reemplazo de la actualización de PHP.
¿Necesita ayuda?
¿No está seguro de si su servidor ha sido parcheado o sigue utilizando una versión antigua de PHP? Comprobamos su versión y configuración de PHP, hacemos las preguntas correctas a su proveedor de hosting y le ayudamos a planificar el paso a una versión compatible de PHP y PrestaShop. Lea más sobre nuestro servicio de seguridad, planifique una actualización o háganos una pregunta.
Fuente: "Critical PHP security updates: what PrestaShop users need to know" en build.prestashop-project.org (21 de octubre de 2026) y los avisos de seguridad de PHP para CVE-2026-109618 y CVE-2026-109619.
