En resumen: tras PHP2Shell, la seguridad en WooCommerce depende en primer lugar del PHP del servidor, no del plugin de la tienda. Una tienda guarda datos de clientes, pedidos y accesos a proveedores de pago, por lo que el parche de PHP por sí solo no basta. Revise además el código del checkout, las claves de la API REST y los webhooks.
Qué significa PHP2Shell para una tienda WooCommerce
WooCommerce es un plugin para WordPress y, por tanto, se ejecuta sobre el mismo PHP. Según el equipo de PHP, las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 permiten ejecutar código malicioso de forma remota y sin autenticación. Para una tienda esto es más grave que para un sitio web de presentación, porque hay más en juego:
- Nombres, direcciones de entrega y de facturación, números de teléfono y direcciones de correo electrónico
- Historial de pedidos y cuentas de clientes con hashes de contraseñas
- Claves de API y secretos de las conexiones con proveedores de pago, envío y contabilidad, almacenados en la base de datos
- Descargas de productos digitales en la carpeta
wp-content/uploads/woocommerce_uploads/
Con los formularios de pago integrados de los proveedores, los datos de tarjeta normalmente no se almacenan en la tienda. Sin embargo, un atacante con acceso al servidor puede modificar el JavaScript del checkout para leer los datos introducidos antes de enviarlos. Encontrará indicaciones generales para comerciantes en Seguridad informática para tiendas online.
La seguridad en WooCommerce empieza por la versión de PHP
En WooCommerce > Estado, el estado del sistema muestra, en la sección del entorno del servidor, la versión de PHP con la que la tienda se ejecuta realmente. Las versiones corregidas de origen son 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Pero los proveedores de hosting suelen incorporar las correcciones como backport, y entonces el número mostrado sigue siendo antiguo. Por eso, fíese de la confirmación por escrito del proveedor y del reinicio de todos los procesos de PHP.
Qué versiones de PHP admite su versión de WooCommerce puede consultarlo, según los requisitos del sistema del fabricante, en woocommerce.com. El cambio a una versión principal más reciente de PHP debería hacerse en un entorno de pruebas, porque de lo contrario los plugins de pago podrían dejar de funcionar sin que se note.
Por dónde atacan los intrusos en las tiendas WooCommerce
Además de los escondites habituales de WordPress, hay lugares típicos de las tiendas:
- Sobrescrituras de plantillas en el tema: carpeta
woocommerce/checkout/del tema activo. Los archivos modificados aquí afectan directamente a la caja y a la confirmación del pedido. - Plugins de pago: archivos modificados en
wp-content/plugins/del proveedor de pago. - Claves de la API REST: en WooCommerce > Ajustes > Avanzado > API REST. Una clave ajena con permisos de lectura o escritura es una puerta trasera sin archivo.
- Webhooks: en Avanzado > Webhooks. Un webhook desconocido puede enviar cada pedido nuevo a una dirección ajena.
- Roles: cuentas nuevas con el rol «Gerente de la tienda» o «Administrador».
- Registros:
wp-content/uploads/wc-logs/puede contener datos personales y no debería ser accesible públicamente.
Comprobaciones inofensivas en la línea de comandos:
# Listar administradores y gerentes de la tienda
wp user list --role=administrator
wp user list --role=shop_manager
# Mostrar los archivos PHP del tema modificados desde el 17/10/2026
find wp-content/themes -name "*.php" -newermt "2026-10-17"
Un parche de PHP no elimina ni una clave de API ajena ni un webhook introducido. Ambos siguen funcionando después de la actualización. Por eso, revise activamente las listas y, ante una sospecha, renueve las claves de API en sus proveedores de pago.
Extensiones y actualizaciones de la tienda: lo que logran y lo que no
Una tienda WooCommerce típica utiliza muchas extensiones: métodos de pago, etiquetas de envío, emisión de facturas, conexiones con marketplaces, plugins de valoraciones y de marketing. Cada una es código adicional con sus propias vulnerabilidades y, a menudo, con accesos propios a servicios externos. Mantenga la lista corta y elimine las instalaciones de prueba de métodos de pago antiguos.
Una actualización de WooCommerce o de WordPress cierra errores conocidos en esos componentes. No repara PHP, no elimina archivos ajenos fuera de la carpeta del plugin y no borra entradas de la base de datos como claves de API o webhooks. Cómo saber si ya ha ocurrido algo se describe en ¿Estoy ya comprometido?.
Si la actualización de PHP aún está pendiente en su proveedor de hosting, un filtro situado delante puede darle tiempo. No sustituye al parche; encontrará más información en WAF y parcheo virtual.
Obligaciones ante un incidente en la tienda
Si se pierden datos personales de clientes, puede ser necesaria una notificación a la autoridad de protección de datos en un plazo de 72 horas. Se trata de información general, no de asesoramiento jurídico. Implique pronto a su delegado de protección de datos y lea nuestro resumen sobre la obligación de notificación del RGPD. Tenga en cuenta además las directrices de sus proveedores de pago para incidentes de seguridad.
Después de cada intervención, pruebe un proceso de pedido completo con todos los métodos de pago que ofrezca. Esté atento a pasos intermedios inusuales, campos de entrada adicionales o redirecciones a dominios ajenos. Las herramientas para desarrolladores del navegador muestran qué scripts se cargan y desde qué direcciones; las fuentes desconocidas en la página de la caja son una señal de alerta. Documente la prueba con la fecha y el resultado.
¿Cómo ayuda PHP SOS en concreto?
- Aclaramos con su proveedor de hosting el nivel de parcheo de PHP y hacemos que se confirme el reinicio de todos los procesos de PHP.
- Guardamos registros, base de datos y archivos antes de cambiar nada.
- Revisamos las plantillas del checkout, los plugins de pago, las claves de la API REST, los webhooks y los roles de usuario.
- Si hay hallazgos, limpiamos la tienda, renovamos los accesos con usted y documentamos el proceso para la protección de datos y el seguro.
Preguntas frecuentes
¿Están en riesgo los datos de tarjetas de crédito en WooCommerce por PHP2Shell?
Depende de cómo esté integrado el proveedor de pago. Si las tarjetas se introducen en un formulario del proveedor, normalmente no se almacenan en la tienda. Sin embargo, un atacante con acceso al servidor puede modificar el checkout de modo que los datos introducidos se intercepten antes de enviarse.
¿Dónde veo la versión de PHP en WooCommerce?
En WooCommerce > Estado, en la sección del entorno del servidor. El número indica la versión con la que se ejecuta la tienda. No permite saber si se ha aplicado un backport; eso debe confirmarlo el proveedor de hosting.
¿Por qué debería revisar los webhooks de WooCommerce?
Los webhooks envían datos a una dirección registrada cuando ocurren eventos como un pedido nuevo. Un webhook creado a escondidas puede enviar datos de pedidos a terceros de forma permanente, incluso después de parchear PHP.
¿Debo informar a los proveedores de pago si tengo una sospecha?
Ante una sospecha fundada, debería renovar las claves de API en el proveedor y seguir sus directrices para incidentes de seguridad. Si existen obligaciones de notificación, aclárelo con su delegado de protección de datos o con su abogado.