Píldoras PrestaShop de mayo de 2026: cPanel, devoluciones y spam

Mayo de 2026 empezó con un fallo crítico de cPanel y siguió con limpieza de clientes falsos, accesos sospechosos al back-office y varias obligaciones legales. Lo que no dio para ficha, aquí.

cPanel CVE-2026-41940: entrar al panel sin contraseña

Un compañero dio la alerta: un fallo de cPanel, WHM y WP Squared permitía saltarse el inicio de sesión y entrar al panel sin contraseña, en todas las versiones posteriores a la 11.40, y se estaba aprovechando desde febrero. cPanel publicó la corrección a finales de abril (aviso oficial). Si administras tu servidor, actualiza; si no, pregunta a tu proveedor. Gustavo se quejaba de que muchos hostings lo parchearon sin avisar a sus clientes.

Ver en Telegram

PrestaShop Checkout no puede vaciar la caché: «php: not found»

Un compañero veía en el registro del módulo PrestaShop Checkout que no podía vaciar la caché: el servidor no encontraba el ejecutable php, y quedaban restos en var/cache. En un servidor con Plesk, la receta que le dieron: vacía var/cache a mano por FTP y lanza la consola con la ruta completa de PHP:

/opt/plesk/php/8.3/bin/php bin/console cache:clear --env=prod

Si ni así se arregla, como apuntó Gustavo, huele a una actualización a medias.

Ver en Telegram

Miles de clientes falsos: filtrarlos por el nombre

Un compañero que desinfectaba una tienda se encontró decenas de miles de clientes de spam con nombres de caracteres al azar. Otro miembro propuso una expresión regular que rechaza nombres con cuatro consonantes seguidas, y un guion que lista los clientes que no la pasan para revisarlos y borrarlos. Eliminó 4.000 de golpe, y por el camino una clienta real que había escrito mal su nombre. Úsalo para revisar, no como validación del registro: un apellido como «Schmidt» tiene cuatro consonantes seguidas.

Ver en Telegram

Entraron al back-office e instalaron un módulo, con doble factor activo

A un cliente de Gustavo, en una 1.7.8.11, alguien entró al back-office con un usuario administrador nuevo y le instaló un módulo. Tenía doble factor y no está claro cómo pudo entrar; Gustavo sospecha de la recuperación de contraseña. En el registro de administración quedó la IP que instaló el módulo. Su reacción: un módulo que avisa por correo cada vez que se instala uno. Si tu tienda está en 1.7, ya no recibe parches: planifica la migración.

Ver en Telegram

Devoluciones: el dinero vuelve por el mismo medio de pago

Un compañero preguntaba si puede devolver solo en vales de compra. En el desistimiento, no: la ley de consumidores (artículo 107) obliga a reembolsar por el mismo medio de pago que usó el cliente, salvo que él acepte expresamente otro y no le cueste nada. Ofrecer el vale como opción sí vale: otro miembro contó que un 60 % de sus clientes lo prefiere porque repiten.

Ver en Telegram

Dominio y hosting, siempre a nombre del cliente

Gustavo se encontró con un cliente al que una empresa de marketing le había cambiado de hospedaje y de registrador, y que ahora no controlaba sus accesos. Otro miembro contó casos peores: dominios registrados a nombre de la agencia. La recomendación del grupo: el hosting y el dominio, a nombre del cliente y con sus datos de facturación; tú le facturas aparte tu gestión.

Ver en Telegram

La sesión del back-office se cierra sola: mira el antivirus

Tras migrar a un cliente de hosting, a este se le cerraba la sesión del back-office cada poco, trabajando, en dos equipos de la misma red. El compañero probó con la duración de las cookies, quitó la comprobación de IP y tocó la sesión de PHP. Gustavo le pasó su guía para alargar la sesión del back-office. Al final lo resolvió revisando el antivirus y el cortafuegos de los equipos: cuando solo le pasa a una red, mira lo local.

Ver en Telegram

Google deja de mostrar los resultados enriquecidos de FAQ

Gustavo compartió el aviso: a partir del 7 de mayo de 2026, los resultados enriquecidos de preguntas frecuentes dejan de aparecer en la Búsqueda de Google, y eso se nota en Search Console. Las preguntas frecuentes siguen siendo útiles en la ficha, para el cliente y para las respuestas de los buscadores con IA; lo que desaparece es el desplegable en los resultados.

Ver en Telegram

Transparencia con la IA desde agosto de 2026

Gustavo recordó que, según el texto publicado, el 2 de agosto de 2026 empiezan a aplicarse las obligaciones de transparencia (artículo 50) del Reglamento europeo de IA. Su forma práctica: si el chat de la tienda es una IA, que su primer mensaje lo diga («soy el asistente con IA de la tienda»), y si usas textos generados con IA, una nota en el pie de la ficha. Lo del chat es lo más claro; para los textos, confirma con tu asesor qué te aplica.

Ver en Telegram

Redsys inSite: pagar sin salir de la tienda

Gustavo iba a activar en un cliente el pago integrado de Redsys (inSite) para comparar conversión frente a la redirección a la pasarela. Otro compañero contó que todas las pasarelas con las que ha hablado le dicen que el pago integrado convierte más. Rekire recordaba que había peor control de los pedidos fantasma y que hay que pedirlo al banco. Y otro miembro avisó de que a algunos compradores pagar dentro de la web les da desconfianza.

Ver en Telegram

Esto salió en @PrestashopEsp, la mayor comunidad PrestaShop de España en Telegram. Ver la conversación