Vulnerabilidad crítica en PHP · CVE-2026-109618
PrestaShop
¿Tu PrestaShop es vulnerable a php2shell?
Un fallo de PHP permite a un atacante ejecutar código en el servidor de tu tienda. Nuestro módulo gratuito lo comprueba con una prueba real en tu propio servidor y revisa, de paso, versiones, rendimiento y los fallos de seguridad más habituales.
- Gratis
- PrestaShop 1.6 a 9
- Tus datos no salen de tu tienda
tienda-ejemplo.com
Riesgo alto · 3 puntos críticos
- php2shellVulnerable
- PrestaShop 1.7.8.11Actualizar a 8.2 / 9
- PHP 7.4Sin soporte
- Carpeta install/Expuesta
- Memoria 256MOK
Datos de muestra. El informe real se genera en tu servidor, en PDF.
Qué es php2shell
php2shell es el nombre de dos fallos de seguridad de PHP publicados en octubre de 2026 (CVE-2026-109618 y CVE-2026-109619). PHP es el lenguaje con el que funciona PrestaShop, así que afecta a casi todas las tiendas, sea cual sea su versión.
En pocas palabras: provocando a propósito un error de memoria, un atacante puede conseguir que el servidor ejecute código que no debería. Desde ahí puede llegar a instalar un programa malicioso en la tienda, robar datos o redirigir los pagos.
¿Me afecta?
Depende de cómo esté compilado y parcheado el PHP de tu servidor, no solo de su número de versión. Hay servidores parcheados que siguen diciendo «7.4.33» y servidores al día que no lo están.
Por eso el módulo no se fía del número: hace una prueba inofensiva en tu propio servidor (un error de memoria controlado, sin explotar el fallo) y mira cómo reacciona PHP.
Qué hicimos con nuestros clientes de hosting
En cuanto se publicó el fallo, no esperamos a que cada cliente nos escribiera.
Parche en todas las versiones
Parcheamos PHP en todos los servidores que gestionamos, también en las versiones antiguas que ya no tienen soporte oficial y que muchas tiendas siguen necesitando.
Cortafuegos
Añadimos una regla en el cortafuegos que bloquea las peticiones con las que se intenta aprovechar el fallo, como segunda barrera.
Revisión servidor a servidor
Comprobamos cada servidor uno a uno con la misma prueba que lleva el módulo y avisamos a cada cliente de cómo estaba el suyo.
Si tu tienda está en otro proveedor, el módulo te dice en cinco minutos si tu servidor está expuesto. Y si quieres, te ayudamos a parchearlo o a moverla a un servidor nuestro.
Qué comprueba el módulo
Versiones
Tu PrestaShop frente a la última estable y a la mínima recomendable; tu PHP frente a las versiones con soporte, y si son compatibles entre sí. También la versión de MySQL o MariaDB.
Servidor y rendimiento
Memoria, tiempo máximo de ejecución, límites de subida, procesador, RAM, OPcache y extensiones obligatorias, comparados con lo que pide PrestaShop para ir con soltura.
Seguridad
Fallos conocidos de tu versión de PrestaShop, módulos instalados con avisos de seguridad, carpeta install olvidada, panel de administración con nombre por defecto, modo depuración, errores visibles, SSL sin forzar y ficheros expuestos (copias de la base de datos, .git, phpinfo…).
php2shell, con una prueba real
La prueba se hace en el mismo PHP que sirve tu tienda. Además mira si tienes la mitigación activada y si tu cortafuegos bloquea el ataque.
Si sale vulnerable o no se puede comprobar, consulta con tu empresa de hosting para que lo confirme o aplique el parche.
Resultado y PDF
Semáforo por bloque, una nota global y un informe en PDF que se genera en tu servidor, listo para pasárselo a tu informático o a tu proveedor de hosting.
Revisión agéntica y normativa UE (opcional)
Si pulsas el botón, nuestra herramienta analiza tu tienda desde fuera, como lo haría un cliente o un agente de IA, y revisa los requisitos legales de la UE. Solo se envía la dirección pública de la tienda.
Funciona en PrestaShop 1.6, 1.7, 8 y 9. Solo se instala en el panel de administración: no toca la parte pública de la tienda ni la base de datos (salvo su propia configuración).
Tus datos: qué se envía y qué no
El módulo está pensado para que puedas usarlo sin fiarte de nosotros.
Lo que no sale de tu servidor
- El módulo no envía nada por sí solo: ni al instalarlo, ni al auditar, ni al generar el PDF.
- Sin telemetría ni avisos a nuestros servidores en segundo plano.
- Nunca se envían datos de tus clientes ni de tus pedidos, rutas internas, contraseñas ni claves.
Lo que solo pasa si pulsas un botón
- «Actualizar referencias»: descarga una tabla pública con las últimas versiones y avisos de seguridad. Es una descarga, como buscar actualizaciones: no lleva ningún dato de tu tienda y no guardamos ni tu IP.
- Revisión agéntica y normativa UE: antes te avisa de que se enviará solo la dirección pública de tu tienda.
- «Contactar con Línea Gráfica»: antes de enviar te enseña exactamente qué datos van (tus datos de contacto y el resumen de la auditoría) y necesita que marques tu consentimiento.
Información sobre protección de datos
Responsable: Línea Gráfica. Finalidad: enviarte el enlace de confirmación y, si nos lo pides, contactar contigo sobre la seguridad de tu tienda; si marcas la casilla comercial, también enviarte novedades. Base legal: tu consentimiento, que puedes retirar cuando quieras. Conservación: si no confirmas tu email, lo borramos a los 7 días; si lo confirmas, mientras dure la relación o hasta que pidas que lo borremos. Destinatarios: no cedemos tus datos a terceros. Derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a contacto@lineagrafica.es. Más información en la política de privacidad.
Descarga el módulo gratis
Instálalo como cualquier otro módulo desde Módulos → Subir un módulo y pulsa «Auditar». En unos minutos tienes el resultado.
Dejar tu email es opcional. Si lo dejas, te mandaremos un correo para confirmarlo y te avisaremos cuando haya una versión nueva del módulo o un fallo de seguridad importante en PrestaShop.
¿Algo ha salido en rojo?
Lo arreglamos por ti: parche del servidor, actualización de PrestaShop y de PHP, limpieza si la tienda ya está comprometida o traslado a un hosting nuestro, ya parcheado y vigilado.