Píldoras PrestaShop de abril de 2026: skimmer, img/p y permisos

Abril de 2026 vino cargado de seguridad: un skimmer en un sitio nuevo, un fallo del kernel de Linux y una lección sobre módulos comprados para colar puertas traseras. También hubo trucos de mantenimiento y de configuración.

Otro skimmer, esta vez en core.js

Gustavo pasó horas con una tienda infectada: el fichero core.js llevaba un código que, con fetch(atob(…)), descargaba de una URL oculta en base64 un segundo script que mostraba un formulario falso de tarjeta. El fichero se había modificado dos días antes y no encontró por dónde entraron. El servidor del atacante solo entregaba el código malicioso si detectaba un comprador real. La lección: no basta con revisar head.tpl. Compara los JavaScript del núcleo con los de la versión original y busca ficheros modificados recientemente, por ejemplo con find . -name "*.js" -mtime -7 -not -path "./var/*".

Ver en Telegram

Miles de carpetas vacías en img/p antes de actualizar

Gustavo avisó de algo que revisar antes de una actualización: en la última tienda que trató había decenas de miles de carpetas vacías en img/p, sin más que el index.php de protección. Ralentizan copias, migraciones y actualizaciones. Compartió un guion para borrarlas de abajo arriba, advirtiendo que no se hacía responsable de posibles borrados. Si lo haces, primero en una copia y con una copia de seguridad de las imágenes.

Ver en Telegram

Back-office a medio traducir en PrestaShop 9.0

Un compañero instaló una 9.0.2 en español y el back-office le quedó mitad en inglés. Gustavo le recomendó actualizar el paquete de idioma desde Internacional → Traducciones, que a él le funciona al pasar de 1.7.8 a 8.2. Al compañero, en una instalación nueva, le siguió quedando a medias. Si después de actualizar el idioma faltan cadenas, no es tu instalación: es el paquete, que aún no tiene todo traducido.

Ver en Telegram

Un perfil de empleado que solo ve dos módulos

Un compañero quería que un empleado entrara solo en dos módulos concretos, pero seguía viendo los demás. Otro miembro le confirmó que se puede: tiene perfiles que configuran solo dos módulos y solo ven esos dos. Está en Parámetros avanzados → Equipo → Permisos, en el apartado de módulos de cada perfil: quita los permisos de ver y configurar en todos menos en los que quieras.

Ver en Telegram

Producto que solo se vende en la tienda física

Para enseñar un producto, con sus comentarios, pero que no se pueda comprar online, un compañero lo resolvió así: desmarca «Disponible para pedidos» en las opciones del producto. Para mostrar un aviso del tipo «solo en tienda», mejor una condición en la plantilla que use ese mismo campo (available_for_order) que una lista de IDs a mano.

Ver en Telegram

«Copy Fail» en el kernel de Linux: actualiza tu VPS

Un compañero compartió el aviso de su proveedor sobre CVE-2026-31431, un fallo del kernel de Linux que permite a un usuario local convertirse en administrador del servidor, también en entornos con contenedores. Afecta a casi todas las distribuciones. La solución recomendada es actualizar el kernel y reiniciar; como medida temporal, el aviso proponía desactivar el módulo del kernel afectado. Si estás en hosting compartido, pregúntale a tu proveedor si ya lo ha aplicado.

Ver en Telegram

Módulos comprados para colar una puerta trasera

Rekire y Gustavo comentaron un caso de WordPress: alguien compró catorce plugins con actualizaciones automáticas y les metió una puerta trasera para colar enlaces. En PrestaShop puede pasar igual con un módulo que cambia de manos. Revisa quién mantiene tus módulos, lee los cambios de cada versión y no instales a ciegas. Y, como recordó otro miembro en mayo, desinstala y borra los que no uses: un módulo desactivado deja sus ficheros en el servidor.

Ver en Telegram

Cómo es la licencia de los módulos de Rekire

Rekire publicó su política: puedes usar cada módulo en todas las instalaciones que sean tuyas, también si eres una agencia con muchas webs, sin necesidad de multitienda. Lo que no se permite es redistribuirlo, venderlo ni publicarlo a terceros. El soporte se da sobre la web que declares como principal o, si no declaras ninguna, sobre la primera en la que se active.

Ver en Telegram

Mantenimiento de tablas: un cron fuera de public_html

Gustavo comentó que sería útil un módulo que hiciera cada mes el mantenimiento de tablas y ficheros. Otro compañero opinó que no hace falta módulo: un cron que se ejecute fuera de public_html basta, porque es mantenimiento del alojamiento, no de PrestaShop. Además, así no queda ningún script de limpieza accesible desde el navegador.

Ver en Telegram

Producto digital: la descarga ya está en el pedido

Un compañero quería vender productos digitales con un enlace de descarga externo, porque «la gente no lee». Otro miembro le recordó que PrestaShop ya lo resuelve: al crear un producto virtual adjuntas el archivo y, cuando el pedido se paga, el cliente lo descarga desde su historial de pedidos y desde el correo con el enlace de descarga. Y si la gente no lee, tampoco leerá el enlace externo.

Ver en Telegram

Esto salió en @PrestashopEsp, la mayor comunidad PrestaShop de España en Telegram. Ver la conversación