Píldoras PrestaShop de octubre de 2026: PHP2Shell y cPanel

Lo que dio de sí el grupo en octubre de 2026 y no llega a ficha: un mes con mucha seguridad y algunos consejos que van contra la intuición.

El fallo de PHP y los correos que lo aprovechaban para vender

El 21 de octubre PHP publicó versiones de urgencia (8.2.35, 8.3.36, 8.4.27 y 8.5.12) para dos fallos críticos, conocidos como PHP2Shell (CVE-2026-109618 y CVE-2026-109619), que permitían ejecutar código sin usuario ni contraseña; el detalle está en php.net. Los servidores bien gestionados la parchearon el mismo día: Gustavo tenía sus servidores actualizados esa tarde, en Plesk eran cinco clics. Lo llamativo fueron los correos de empresas ofreciendo arreglarlo por un precio, también a clientes cuyo hosting ya lo había hecho. Si tu hosting es gestionado, las actualizaciones de seguridad suelen ser su trabajo: pregúntale antes de pagar a nadie. Lo difícil queda para los servidores con sistemas operativos viejos.

Ver en Telegram

Un cPanel asaltado por su API

Un compañero contó la intrusión en el hosting de un cliente de 80 años que no sabía lo que era un cPanel: durante varios días, accesos a la API de cPanel desde distintas IP, escritura de un PHP para enviar correo, creación de cuentas de correo y una redirección permanente a otra web. Restauró la copia del día anterior y revisó los ficheros puestos días antes. Gustavo propuso revisar si cPanel estaba al día, por si habían entrado por un fallo ya conocido, y otro miembro recordó revisar también la versión de LiteSpeed. Actualizar, limpiar y proteger, por ese orden.

Ver en Telegram

Correos de captación hechos con IA y registros «test sonda»

Un compañero enseñó la nueva técnica comercial: un correo que señala fallos reales de tu web (un texto de ejemplo olvidado, un umbral de envío gratis que no coincide entre páginas) para ofrecerte sus servicios. Escrito al 100 % con IA. En la misma línea, otro compañero vio un registro de cliente llamado «test sonda» con un correo de ejemplo: alguien probando tus formularios y tus correos para ver por dónde entrar. No respondas, no pinches en nada y, si se repite, bloquea.

Ver en Telegram

Importar 20.000 productos sin esperar horas

A un compañero subir 20.000 productos se le hacía eterno. Dos consejos: lo que más ralentiza la importación es el campo de posición en la categoría, y, si importas con un módulo, no reindexes la búsqueda ni las facetas ni regeneres las miniaturas en cada producto. Hazlo una vez al final.

Ver en Telegram

PageSpeed: «no instales ningún módulo»

A la pregunta de qué módulo instalar para mejorar el PageSpeed en una 8.1, la respuesta de un compañero sonó rara pero tiene sentido: ninguno. Los módulos de «optimización» genéricos suelen añadir más de lo que quitan. Lo que sí funciona es la caché bien configurada: Rekire contó en noviembre que con el módulo de caché con Redis y OPcache, gratuito en su web, estaba consiguiendo valores muy cercanos a 100, junto a otros ajustes.

Ver en Telegram

Siete agentes de IA haciendo de clientes

El experimento de Gustavo: pedir a la IA que use siete agentes con perfiles distintos (edad, nivel económico, soltura con el móvil y el ordenador) y que visiten la tienda e intenten comprar como clientes reales. Lo ha probado con varios clientes y dice que es muy esclarecedor, sobre todo con los perfiles de personas mayores. Es una forma barata de detectar dónde se atasca alguien que no eres tú.

Ver en Telegram

Azulejos: metros cuadrados que se convierten en cajas

Un compañero buscaba un módulo para su tienda de azulejos: el cliente pone los metros cuadrados, se añaden las cajas necesarias redondeando hacia arriba y el carrito muestra cajas y metros totales. El consejo de Gustavo: o bloqueas la cantidad en el carrito, o dejas muy claro que son cajas y cuántos metros suman. Rekire tiene para eso el módulo RKR Area Pricing Pro, de venta por metro cuadrado con cajas completas.

Ver en Telegram

Esto salió en @PrestashopEsp, la mayor comunidad PrestaShop de España en Telegram. Ver la conversación