PrestaShop 9.2.1 y 8.2.9: 18 fallos de seguridad y qué hacer hoy

Si en tu servidor sigue la carpeta install de cuando se montó la tienda, cualquiera puede reinstalar tu PrestaShop con un administrador suyo y quedarse con ella, sin necesitar ni una cuenta. Es uno de los 18 fallos que PrestaShop arregló el 9 de noviembre en las versiones 9.2.1 y 8.2.9; otros dos dejan usar un cupón limitado en varios pedidos a la vez, justo antes de Black Friday. Saber si te afecta lleva dos minutos.

¿Qué arreglan PrestaShop 9.2.1 y 8.2.9?

Arreglan 18 fallos de seguridad: PrestaShop califica 15 de gravedad alta y 3 de gravedad media, y recomienda actualizar cuanto antes. Estos son los que más pueden costarle a una tienda:

• El instalador que se quedó en el servidor. Al instalar PrestaShop se usa una carpeta install que después hay que borrar. Si sigue ahí, cualquiera puede relanzar la instalación sobre tu tienda: ver la contraseña de tu base de datos, dejar la tienda sin funcionar o reinstalarla con un administrador suyo. Un segundo fallo en esa misma carpeta deja a un desconocido ejecutar sus propios programas en tu servidor. Los dos tienen una nota de 8,1 sobre 10 y no hace falta ninguna cuenta para aprovecharlos.
• Cupones usados más veces de las permitidas. Un cliente que confirma varios pedidos a la vez puede usar en todos ellos un cupón limitado (de un solo uso, o para los 100 primeros) y llevarse el descuento completo en cada uno (7,5 sobre 10).
• Pedidos duplicados. Con un carrito que sale a 0 €, varias confirmaciones a la vez pueden crear varios pedidos del mismo carrito (7,5 sobre 10).
• Archivos de tus clientes. Si vendes productos personalizables, la foto o el documento que sube un cliente lo puede descargar un desconocido que sepa la referencia del pedido y el nombre del archivo.
• Tiendas conectadas a otros programas. Si tu ERP, un marketplace o tu programa de envíos se conecta a la tienda por el webservice de PrestaShop, varias claves de acceso pueden leer o cambiar más de lo que les diste, incluidas las cuentas de clientes si tienes varias tiendas en la misma instalación.
• Lo que puede hacer quien ya entra en tu panel. Varios fallos necesitan una cuenta en el panel, pero dejan a quien la tiene ir mucho más allá de lo que le permitiste. Es tu caso si en tu tienda trabajan empleados, una agencia o freelancers.

También salen corregidos dos módulos oficiales. En el del RGPD (psgdpr 1.4.4), alguien podía apuntar un consentimiento a nombre de otro cliente, y el registro dejaba de servir como prueba de quién aceptó qué. En el del boletín (ps_emailsubscription 3.0.1), la lista de suscriptores que exportas podía traer un correo trucado que la hoja de cálculo toma por una fórmula al abrirla.

¿Afecta a mi tienda?

Te afecta si no está ya en la 9.2.1 o en la 8.2.9, las dos únicas versiones con el arreglo. No habrá versión corregida para 9.0, 9.1 ni 1.7.

• PrestaShop 9.2.0: afectada por los 18. Actualiza a la 9.2.1.
• PrestaShop 9.0 o 9.1: afectada; el arreglo es subir a la 9.2.1.
• PrestaShop 8 (8.0, 8.1 u 8.2): afectada por 15. Actualiza a la 8.2.9.
• PrestaShop 1.7 o anterior: no recibe versión de seguridad, y el aviso del instalador la incluye expresamente: habla de cualquier versión anterior a la 8.2.9.

Cómo saber qué versión tienes

En el panel de tu tienda, abre Parámetros Avanzados → Información: ahí sale la versión.

¿Responde la carpeta install de tu tienda?

Abre en el navegador la dirección de tu tienda seguida de /install (por ejemplo, https://tutienda.com/install) y prueba también con /install-dev. Si te sale la página de «no encontrada» de tu tienda o un error del servidor, bien. Si aparece el asistente de instalación de PrestaShop o cualquier otra cosa, tu tienda está expuesta a los dos fallos más graves.

En abril, la empresa de seguridad Sansec encontró más de 200 tiendas PrestaShop en marcha con el instalador a la vista de cualquiera, sobre todo en Francia, Italia, Polonia y la República Checa. Desde la 9.2.0 la carpeta se borra sola al terminar la instalación; en las tiendas 8 y anteriores había que borrarla a mano, y no siempre se hizo.

¿Qué hago hoy para actualizar PrestaShop?

Primero una copia, luego la carpeta install y después la actualización. Los módulos y los accesos van al final:

1. Haz una copia completa (archivos y base de datos) y guárdala fuera del servidor.
2. Comprueba si responde la carpeta install. Si es así, pide hoy mismo a tu técnico o a tu hosting que la borre y que revise si alguien ha dejado algo en el servidor, porque ha estado abierta a cualquiera.
3. Actualiza PrestaShop: a la 9.2.1 si estás en 9, a la 8.2.9 si estás en 8. Se hace con el módulo Update Assistant (antes «1-Click Upgrade»). Si tu tienda tiene módulos o tema a medida, pruébalo antes en una copia.
4. Actualiza los dos módulos oficiales, el del RGPD y el del boletín, desde Módulos → Gestor de módulos. Puedes hacerlo aunque la tienda tenga que esperar.
5. Repasa quién entra en tu tienda. Borra los empleados que ya no trabajan contigo y las claves del webservice que no uses. Si no tienes ningún programa conectado por webservice, desactívalo en Parámetros Avanzados → Webservice.

Borrar la carpeta install cierra los dos fallos del instalador, los más graves. Los cupones y los pedidos duplicados solo se corrigen actualizando.

¿Por qué importa tanto antes del Black Friday?

Porque el Black Friday es el 27 de noviembre y sus promociones son justo las que estos dos fallos dejan abusar: el código para los 50 primeros, el cupón de un solo uso que mandas a tu lista, el regalo con un pedido que sale gratis. Si alguien da con la forma de usar el mismo código 10 veces, lo hará el día que más descuento das y menos tiempo tienes para mirar los pedidos.

Todavía hay margen para actualizar con calma. Si no llegas, revisa los pedidos con cupón y los de 0 € antes de prepararlos: varios pedidos del mismo cliente con el mismo código, casi al mismo segundo, son la señal.

¿Y si mi tienda es 1.7, 9.0 o 9.1?

Si estás en 9.0 o 9.1, el paso es a la 9.2.1. Sin salir de PrestaShop 9, el tema y los módulos suelen seguir sirviendo; aun así, comprueba que cada uno admite la 9.2 y prueba antes en una copia.

Si estás en 1.7, no hay arreglo para tu versión. Borrar la carpeta install te protege del fallo del instalador; para el resto, la salida es pasar a PrestaShop 9. Hay otra razón para hacerlo: la 1.7 funciona como mucho con PHP 7.4, que tampoco recibe arreglos, como se vio con PHP2Shell hace tres semanas. Qué PHP admite cada versión lo tienes en qué versión de PHP necesita PrestaShop.

El paso de 1.7 a 9, contado entero, está en actualizar PrestaShop 1.7 o 1.6 a 9. Y si prefieres no estar pendiente de estos avisos, con el mantenimiento PrestaShop actualizamos nosotros PrestaShop y sus módulos después de probarlos.

Para tu equipo técnico

Notas oficiales: PrestaShop 9.2.1 y PrestaShop 8.2.9. Todos los avisos del núcleo dan como versiones corregidas solo 9.2.1 y 8.2.9; sin parche para 9.0.x, 9.1.x ni 1.7. Tres solo afectan a 9 (Admin API: GHSA-p292-3rh4-vm4p y GHSA-6c2j-pgwm-95m9; modo depuración: GHSA-95f5-jc9c-gg3q).

• Instalador: GHSA-8rxw-79mh-gmm5 (8,1; afecta a todo lo anterior a 8.2.9) y GHSA-h2q4-7fp7-m5jp (8,1). Medida alternativa del aviso: borrar install/ (y install-dev/) tras instalar.
• Cupones y pedidos de 0 €: GHSA-r246-6gw4-pj3p y GHSA-2676-hc74-gg7v (7,5). Sin medida alternativa.
• Webservice: GHSA-hjwq-7qvv-qxj4 (CVE-2026-71519), GHSA-3f36-4qv4-vfgh (CVE-2026-71531), GHSA-wrmc-gmx5-9hhc. Medida alternativa: desactivar el webservice si no se usa y dar permisos de clientes solo a integraciones de confianza.
• Front sin cuenta: GHSA-fg9q-mm4c-h5xc (archivos de personalización, 5,9) y GHSA-g6p7-cx52-hcrj (token de recuperación de contraseña, 4,8).
• Back office: GHSA-99cp-c6mm-p7h5, GHSA-7q68-ch46-pxmc, GHSA-fxq4-2mc8-99pr, GHSA-95w6-v2wq-cv8w, GHSA-5p6p-mx64-96jf, GHSA-mgcf-mrg4-mcxv.
• Módulos: psgdpr 1.4.4 (GHSA-wwqh-cf9m-347f, CVE-2026-92809) y ps_emailsubscription 3.0.1 (GHSA-pg6j-qf29-gc43). La edición Classic trae además PrestaShop Checkout 5.5.6.

Si el instalador estuvo accesible, Sansec recomienda buscar puertas traseras en el servidor y desactivar el modo depuración en producción.