Hackeos en PrestaShop: la oleada de 2026 que se está cebando con las tiendas sin mantenimiento

Llevo semanas recibiendo el mismo mensaje: «Raúl, creo que me han hackeado la tienda». Y no es casualidad: hay una oleada de ataques a tiendas PrestaShop aprovechando varias vulnerabilidades publicadas este año — y las víctimas comparten un patrón claro: tiendas sin mantenimiento, con el core y los módulos sin actualizar desde hace meses o años. Te cuento qué agujeros están explotando ahora mismo, cómo saber si ya estás en la lista de víctimas y qué hacer hoy.

Las vulnerabilidades que están explotando ahora mismo

1. Ejecución remota de código en Faceted Search (el más grave)

El módulo de búsqueda facetada — nativo, presente en la inmensa mayoría de tiendas — procesaba de forma insegura peticiones manipuladas, permitiendo ejecutar código en tu servidor sin necesidad de cuenta ni autenticación. El proyecto PrestaShop publicó el aviso en junio de 2026 y la corrección está en la versión 4.0.4 del módulo. Si no lo has actualizado, tu tienda es una puerta abierta: los atacantes escanean Internet buscando exactamente esto. Tienes el detalle en el aviso de INCIBE.

2. Inyección SQL y subida de PHP en módulos de importación

Varios módulos de MyPrestaModules — entre ellos el popular simpleimportproduct («Importación de catálogo de productos CSV/Excel») — arrastran una inyección SQL crítica y un fallo que permite a un invitado subir archivos .php al servidor (CVE-2024-25846). Traducción: control total de la tienda. Si usas módulos de importación de catálogo, revísalos hoy.

3. Validación deficiente en el core de PrestaShop 8.2.1

El propio core tampoco se libra: el CVE-2026-14846 afecta a PrestaShop 8.2.1 por una validación deficiente del campo «Alias» en las direcciones de cliente. INCIBE-CERT lo recoge en su alerta temprana. La solución de siempre: actualizar PrestaShop a la última versión estable, con método y en staging.

¿Cómo sé si mi tienda ya está comprometida?

Señales típicas que veo en tiendas hackeadas: pedidos o clientes fantasma, archivos PHP nuevos que nadie subió, la tienda redirigiendo a webs raras, picos de consumo del servidor sin tráfico que lo explique, avisos de Google Search Console por contenido extraño, o el buscador mostrando resultados spam de tu dominio. Si algo de esto te suena, ve directo a mi guía para detectar y eliminar malware en PrestaShop — y actúa ya, porque cada día dentro sale más caro.

Qué hacer hoy mismo (aunque no veas síntomas)

Primero, actualiza el módulo Faceted Search a la 4.0.4 o superior — es la puerta que más están usando. Segundo, revisa tus módulos de importación y elimina los que no uses. Tercero, comprueba tu versión del core y planifica la subida si vas por detrás. Y cuarto, backup completo verificado antes y después de todo lo anterior. Si esta lista te suena a chino o no tienes tiempo, sigue leyendo.

La causa de fondo no es el bug: es el abandono

Todas las tiendas hackeadas que me llegan comparten historia: nadie las actualizaba, nadie vigilaba los logs, nadie probaba los backups. Los bugs existen siempre — la diferencia entre susto y catástrofe es cuánto tardas en parchear. Eso es exactamente lo que resuelve un mantenimiento PrestaShop profesional: actualizaciones con criterio en staging, backups probados, vigilancia de seguridad y rendimiento. En los planes de mantenimiento que gestionamos desde Soy.es, mi agencia, avisos como los de este post se parchean el día que salen, no el día que te hackean. ¿Prefieres dormir tranquilo? Contrata mantenimiento para tu PrestaShop o cuéntame tu caso — la primera llamada es gratuita, y si llegas con la tienda ya comprometida, el equipo de Soy.es y yo también nos encargamos de la limpieza y recuperación.

Preguntas frecuentes

¿Cómo actualizo el módulo Faceted Search?

Desde el backoffice: Módulos → buscar «Faceted Search» → Actualizar (necesitas la 4.0.4 o superior). Si lo tienes muy personalizado, prueba antes en staging.

Mi tienda funciona bien, ¿puedo estar hackeado igualmente?

Sí — de hecho es lo habitual. Los ataques modernos no rompen la tienda: inyectan skimmers de tarjetas, spam SEO o puertas traseras silenciosas. Que todo «funcione» no es señal de estar limpio.

¿PrestaShop es inseguro?

No más que cualquier plataforma viva: WordPress, Magento o las apps de Shopify publican vulnerabilidades constantemente. La diferencia la marca el mantenimiento: una tienda parcheada al día es un objetivo carísimo; una abandonada, un cajero automático.

¿Qué incluye un mantenimiento que me proteja de esto?

Actualizaciones de core y módulos probadas en staging, backups diarios verificados, vigilancia de malware y accesos, y monitorización de rendimiento. Lo detallo en la guía de mantenimiento PrestaShop.

Si quieres dimensionar lo que hay en juego, en la radiografía del ecommerce español de 2026 desgloso el tamaño del sector y el reparto por plataformas.

Y si te estás preguntando qué inversión supone tener esto cubierto, te lo explico en cuánto cuesta el mantenimiento de una tienda PrestaShop.