Vulnerabilidades críticas en PHP (octubre de 2026): cómo afectan a tu PrestaShop y qué hacer hoy

El 21 de octubre de 2026 PHP publicó dos vulnerabilidades críticas en su núcleo que permiten ejecutar código en el servidor sin autenticación, e INCIBE las ha recogido en el aviso INCIBE-2026-762 con la importancia máxima (5, crítica). Hay ataques en curso desde antes de que saliera el parche. Toda tienda PrestaShop funciona sobre PHP, así que toda tienda PrestaShop está afectada hasta que se actualice el PHP del servidor. Esto es lo que ha pasado, cómo saber si te afecta y qué hacer hoy, en orden.

¿Qué ha pasado exactamente?

Son dos fallos en la forma en que PHP gestiona la memoria de cada petición web, no en PrestaShop ni en ningún módulo:

• CVE-2026-109618. Si PHP se queda sin memoria antes de terminar de procesar una petición, al cerrarla reutiliza datos a medio inicializar y corrompe la memoria. Un atacante puede provocarlo con una petición POST de tipo multipart (la que se usa para enviar formularios con archivos) con muchas cabeceras o campos anidados, y a partir de ahí ejecutar código. Está confirmado contra Apache con mod_php; con PHP-FPM se considera también vulnerable.
• CVE-2026-109619. Parte del estado de una petición sobrevive en el proceso que la atendió. Si la siguiente petición al mismo proceso lo reutiliza antes de reiniciarlo, se produce un uso de memoria ya liberada que puede acabar en ejecución de código. Confirmado en Apache mod_php y en PHP-FPM, es decir, en la práctica en cualquier hosting.

Las dos tienen una puntuación CVSS 4.0 de 9,2 sobre 10. PHP ha confirmado que se habían observado ataques contra servidores antes de publicar las correcciones.

¿Qué versiones de PHP están afectadas?

Todas las ramas con soporte, hasta las versiones que corrigen el fallo:

El último punto es el que más afecta a PrestaShop: muchas tiendas siguen en PHP 7.4 u 8.1 porque su versión de PrestaShop no admite otra. Esas ramas no reciben actualizaciones regulares; PHP ha publicado parches, pero depende de que tu hosting los compile y los aplique.

¿Afecta a mi PrestaShop?

Sí, si el PHP de tu servidor está en una versión afectada, y lo está salvo que tu hosting lo haya actualizado en las últimas horas. No importa la versión de PrestaShop, ni los módulos, ni el tema: la vulnerabilidad está por debajo de todo eso. Lo que sí cambia con la versión de PrestaShop es a qué PHP puedes actualizar:

• PrestaShop 9: admite PHP 8.1 a 8.4. Actualiza a PHP 8.4.27 o 8.3.36.
• PrestaShop 8.2: admite hasta PHP 8.3 según la tabla oficial de compatibilidad. Actualiza a 8.3.36 o 8.2.35.
• PrestaShop 8.0 y 8.1: su tope oficial es PHP 8.1, que no tiene versión corregida. Opciones: pedir al hosting el parche retroportado, o actualizar PrestaShop a 8.2 o 9 para poder usar un PHP corregido.
• PrestaShop 1.7.8 y anteriores: su tope es PHP 7.4 (1.7.8) o inferior. Misma situación: parche del hosting o actualización de PrestaShop, que a estas alturas es la salida razonable.

Consulta siempre la tabla de compatibilidad oficial de PrestaShop antes de cambiar la versión de PHP: un salto que PrestaShop no admite deja la tienda en blanco.

¿Cómo saber qué versión de PHP tiene mi tienda?

Tres formas, de la más rápida a la más completa:

1. En el panel de PrestaShop: Parámetros avanzados > Información, apartado de información del servidor. Ahí aparece la versión exacta de PHP.
2. En el panel del hosting (cPanel, Plesk o el propio del proveedor): el selector de versión de PHP muestra la que tienes activa y las disponibles.
3. Con nuestro escáner gratuito de PrestaShop: si tu servidor anuncia la versión de PHP, la detecta desde fuera y te avisa si está afectada. Si no la anuncia, es buena señal por otro motivo, pero tendrás que mirarla en el panel.

¿Qué hago hoy? Los pasos en orden

1. Comprueba la versión de PHP con cualquiera de los métodos anteriores y anótala.
2. Si tu PrestaShop admite una versión corregida, cámbiala desde el panel del hosting. En la mayoría de los hostings compartidos es un desplegable; en un servidor propio, una actualización de paquetes. Tras el cambio, abre la portada, una ficha de producto, el carrito y el panel, y haz un pedido de prueba. Comprueba que los módulos de pago y transportistas siguen funcionando.
3. Si tu hosting ya ofrece la versión corregida pero tu tienda está en una rama vieja, prueba primero en un entorno de pruebas: el cambio de rama de PHP puede afectar a módulos antiguos.
4. Si no puedes actualizar hoy, aplica las medidas temporales que indica PHP y verifica que el hosting las permite: memory_limit sin límite finito solo a nivel de servidor (no corrige el fallo, reduce la exposición, y aumenta el consumo de memoria), post_max_size bajo (8 MB si tu tienda no sube archivos desde el front, 32 MB si los necesita) con upload_max_filesize por debajo, y session.upload_progress.enabled desactivado. Un cortafuegos de aplicaciones (como Cloudflare) con límites al tamaño de las peticiones también ayuda.
5. Si el hosting no te da una versión corregida ni los parches en las próximas horas, considéralo un motivo serio para cambiar de proveedor. PHP ha sido explícito: la única solución completa es actualizar, y un servidor expuesto que no puede actualizarse debería aislarse de Internet.
6. Después de actualizar, revisa si ya habían entrado. Los ataques empezaron antes del parche. Las señales de siempre: archivos PHP nuevos en carpetas de imágenes o módulos, administradores que no has creado, redirecciones, consumo anómalo del servidor. Lo detallamos en cómo saber si tu PrestaShop tiene malware.

¿Y si ya está infectada?

No restaures una copia a ciegas, cambia todas las contraseñas y pide una limpieza de malware en PrestaShop: localizar el código, encontrar el punto de entrada y cerrarlo, con garantía. Si la vulnerabilidad sigue abierta, la limpieza dura lo que tarda el siguiente ataque, por eso actualizar PHP va antes.

¿Cómo evitar vivir esto cada vez?

Vulnerabilidades críticas en PHP, en PrestaShop o en un módulo salen varias veces al año. La diferencia entre un susto de una hora y una tienda comprometida es tener quien lo vigile: que alguien reciba los avisos, compruebe tu versión y aplique el parche en un entorno de pruebas el mismo día. Es exactamente lo que incluye nuestro mantenimiento de PrestaShop. Y si tu tienda sigue en PrestaShop 1.7 con PHP 7.4, este aviso es la señal de que la actualización ya no puede esperar.

Preguntas frecuentes

¿Es tan grave como parece?

Sí. Ejecución remota de código sin autenticación es la categoría más grave que existe: el atacante puede hacer lo mismo que tú en el servidor. Que haya ataques confirmados antes del parche lo convierte en urgente, no en importante.

Mi hosting dice que ya está actualizado, ¿cómo lo compruebo?

Mirando la versión exacta en Parámetros avanzados > Información de tu PrestaShop. Debe ser 8.2.35, 8.3.36, 8.4.27 u 8.5.12 o superior. Si estás en 8.1 o 7.4, pide al hosting confirmación por escrito de que ha aplicado los parches retroportados.

¿Afecta también a tiendas Shopify?

No en el mismo sentido. Shopify no funciona sobre PHP ni tienes un servidor que mantener; la plataforma se ocupa de su infraestructura. Es una de las diferencias de fondo entre las dos, como contamos en PrestaShop o Shopify.

¿Un cortafuegos de aplicaciones me protege?

Reduce la exposición si limita el tamaño y el tipo de peticiones, pero no corrige el fallo. Es una medida temporal mientras actualizas, no un sustituto.

¿Cuánto tarda en actualizarse PHP?

En un hosting compartido con selector de versión, minutos. En un servidor propio, una actualización de paquetes y un reinicio de PHP-FPM o Apache. Lo que lleva tiempo es comprobar después que la tienda y los módulos funcionan; cuenta con una hora si lo haces con cuidado.

Fuentes: aviso INCIBE-2026-762 (21/10/2026) y el aviso de seguridad oficial de PHP. Actualizaremos este artículo si PHP publica versiones nuevas para las ramas sin soporte.