¿Es seguro seguir con PrestaShop 1.7 en 2026?

Las fechas que importan

El anuncio del proyecto lo dice sin rodeos: el periodo de mantenimiento de 1.7.8 terminaría con la publicación de PrestaShop 9.0.0, y desde ese día 1.7 dejaría de mantenerse. PrestaShop 9.0.0 se publicó el 10 de junio de 2025.

Qué significa «sin soporte» en la práctica

Cuando alguien descubre un fallo en el núcleo de PrestaShop, el proyecto publica un aviso con las versiones afectadas y las que lo corrigen. Desde 2025, los arreglos salen para 8.2 y 9, no para 1.7. Un ejemplo real: la CVE-2026-44212 (gravedad crítica, 9,3), un XSS almacenado que permite a un atacante sin cuenta enviar el formulario de contacto con un correo manipulado y hacerse con la sesión del empleado que abre ese mensaje en el back-office. El aviso oficial marca como afectadas las versiones anteriores a 8.2.6 y la corrige en 8.2.6 y 9.1.1; no hay versión de 1.7 con el arreglo.

• Cada aviso nuevo del núcleo es un manual público de cómo atacar las tiendas que no pueden actualizar. Además de la CVE-2026-44212, otros avisos publicados desde septiembre de 2025 marcan como afectadas todas las versiones anteriores a 8.2.x, lo que incluye 1.7: la CVE-2026-33673 (XSS almacenado, gravedad alta), la CVE-2026-25597 y la CVE-2025-51586 (averiguar qué correos tienen cuenta en la tienda). Todos se corrigen solo en 8.2 y 9.
• PHP 7.4 tampoco recibe parches desde noviembre de 2022. Un fallo de PHP descubierto ahora queda abierto en tu servidor, y cada vez más hostings retiran 7.4 o lo cobran como soporte extendido. Ha pasado ya: los dos fallos críticos de PHP2Shell, publicados en octubre de 2026, no tienen versión oficial corregida para PHP 8.1 ni anteriores.
• Los módulos de terceros abandonan 1.7. Cuando el autor corrige un fallo, a menudo solo publica la versión para 8 o 9. Es el problema más serio, porque la mayoría de intrusiones en PrestaShop entran por un módulo, no por el núcleo: lo explico en módulos de PrestaShop vulnerables. Pasa incluso con módulos oficiales: el fallo crítico de ps_facetedsearch, el módulo de filtros que traen casi todas las tiendas, se corrigió en la 4.0.4, y la rama actual del módulo ya es solo para PrestaShop 8.2 y posteriores.

Entonces, ¿me van a hackear?

No necesariamente mañana, pero el riesgo solo crece. Lo que decide si una tienda 1.7 está expuesta hoy es: qué módulos tiene y en qué versión, si hay archivos que ya no deberían estar (la carpeta install, copias .zip o .sql en la raíz, módulos desactivados que siguen en el servidor), si el back-office está protegido y si alguien vigila los cambios en los archivos. He visto tiendas 1.7 bien cuidadas y tiendas 8 con un skimmer en el pago desde hace meses: la versión es un factor importante, no el único.

Una forma rápida de saber cómo está la tuya: el análisis gratuito detecta desde fuera la versión, módulos visibles con fallos publicados y archivos expuestos, en unos minutos y sin registro.

Qué hacer si sigues en 1.7

1. Planifica la actualización. De 1.7 no se puede ir directo a 9 porque no hay ninguna versión de PHP que valga para las dos: se pasa a 8.2 con PHP 7.4, se sube PHP a 8.1 y después se actualiza a 9. Los pasos, en actualizar PrestaShop.
2. Mientras tanto, reduce la superficie: desinstala y borra los módulos que no usas, actualiza los de terceros a la última versión compatible con 1.7 y sustituye los abandonados que tengan fallos publicados.
3. Protege el back-office: carpeta de administración con nombre no evidente, empleados revisados, contraseñas largas y distintas, y, si el hosting lo permite, acceso limitado por IP.
4. Vigila la integridad de los archivos y el pago. Saber al día siguiente que alguien ha modificado classes/Cart.php o un módulo de pago es la diferencia entre un susto y meses de tarjetas robadas. Las señales de un skimmer están en robo de tarjetas en tu tienda.
5. Copias de seguridad fuera del servidor, probadas, por si hay que volver atrás.

Cómo te puedo ayudar

Trabajo a diario con PrestaShop, de 1.6 a 9, y el conector de solo lectura funciona en 1.7. El informe de seguridad para tiendas (169 €) revisa tu 1.7 por dentro: integridad del núcleo archivo por archivo, módulos cruzados con los avisos publicados, overrides y pago (la lista completa, en seguridad PrestaShop). El mantenimiento PrestaShop (69 €/mes, sin permanencia) mantiene la tienda tan protegida como se puede mientras preparas el salto, y la migración de versión mayor se presupuesta aparte, con precio cerrado. Precios IVA no incluido.

Fuentes

• PrestaShop: 1.7.8 en fase de soporte extendido (el mantenimiento termina al publicarse 9.0.0)
• PrestaShop 1.7.8.11 en GitHub (última versión de 1.7, 2 de enero de 2024) y PrestaShop 9.0.0 (10 de junio de 2025)
• PrestaShop: 8.2.x en soporte extendido
• Aviso de seguridad GHSA-w9f3-qc75-qgx9 (CVE-2026-44212) y su ficha en NVD
• Todos los avisos de seguridad del núcleo de PrestaShop
• Requisitos de sistema de PrestaShop 1.7 (PHP hasta 7.4 en 1.7.8)
• PHP: versiones sin soporte (PHP 7.4, fin de soporte el 28 de noviembre de 2022)