ps_facetedsearch (CVE-2026-54159): cómo saber si tu PrestaShop está afectado

Qué ha pasado

El 3 de junio de 2026, el equipo de PrestaShop publicó en GitHub el aviso GHSA-m5f5-28qr-9g9r: un fallo de inyección de objetos PHP en la caché de filtros de ps_facetedsearch que permite ejecutar código en el servidor sin estar registrado. Tiene el identificador CVE-2026-54159 y la gravedad máxima, 10 sobre 10 (CVSS 3.1). El NVD lo registró el 17 de julio de 2026 y el INCIBE-CERT lo recoge en su lista de vulnerabilidades.

Ejecutar código en el servidor es lo peor que le puede pasar a una tienda: quien lo consigue puede dejar una puerta trasera, leer la base de datos con los clientes y los pedidos o meter un script que copie las tarjetas en el pago.

Versiones afectadas y corregidas

Cómo ver qué versión tienes

En el back-office, Módulos → Gestor de módulos y busca «facet» o «Búsqueda por facetas»: verás la versión instalada. Desde la base de datos (cambia ps_ por tu prefijo):

SELECT name, version, active FROM ps_module WHERE name = 'ps_facetedsearch';

Si alguien actualizó el módulo subiendo archivos por FTP, la versión real está en modules/ps_facetedsearch/ps_facetedsearch.php, en la línea $this->version. Si el módulo no aparece en ninguno de los dos sitios, no lo tienes instalado y este aviso no te afecta.

Cómo corregirlo

Si tu tienda puede instalar la 4.0.4 o posterior

Haz una copia de seguridad de archivos y base de datos y actualiza el módulo desde el gestor de módulos o subiendo el ZIP oficial de la página de versiones del módulo. Después, vacía la caché de PrestaShop y prueba los filtros de una categoría y una compra completa. En PrestaShop 8.2 y 9, instala la rama 5.x, que es la actual.

Si tu tienda sigue en 1.7 y no puede actualizar el módulo

Es el caso difícil. Antes de nada, comprueba en el archivo config.xml del ZIP de la 4.0.4 con qué versiones de PrestaShop dice ser compatible, y pruébalo en una copia de la tienda. Si no funciona con tu versión, el propio aviso describe medidas para mientras tanto:

1. Quita los filtros deslizantes de precio y de peso de las plantillas de filtros del módulo (en su configuración, edita cada plantilla y desactiva esos dos filtros). El fallo entra por ellos.
2. Vacía la caché de filtros del módulo y la caché general de PrestaShop.
3. Aplica la corrección manual que describe el aviso en el archivo src/Filters/Block.php del módulo, si existe en tu versión. Es un cambio de una línea, pero debe hacerlo un desarrollador y hay que repetirlo si reinstalas el módulo.
4. Filtra en el cortafuegos (el de tu hosting o tu CDN) las peticiones de búsqueda con datos serializados de PHP, como propone el aviso. Ayuda, pero no sustituye a lo anterior.

Si no usas los filtros del catálogo, lo más seguro es desinstalar el módulo y borrar su carpeta. Y en cualquier caso, esto es un parche sobre una tienda que ya no recibe correcciones: PrestaShop 1.7 dejó de tenerlas con la salida de la 9.0. Lo explico en ¿es seguro seguir con PrestaShop 1.7? y el salto, en actualizar PrestaShop.

Comprueba si ya lo han usado

Actualizar cierra la puerta, pero no echa a quien ya haya entrado. Si tu tienda tuvo una versión afectada desde junio, revisa al menos esto. Los comandos solo leen:

# PHP en la carpeta del módulo modificados en los últimos 150 días
find modules/ps_facetedsearch -name "*.php" -mtime -150 -printf "%TY-%Tm-%Td  %p\n" | sort -r

# Peticiones con objetos PHP serializados en la URL (O: codificado como O%3A)
grep -E "O%3A[0-9]+%3A" access.log | head

La forma fiable es comparar cada archivo de modules/ps_facetedsearch/ con el ZIP oficial de tu misma versión: cualquier archivo .php que sobre o que no coincida es una mala señal. Las fechas se pueden falsear, así que no te fíes solo del primer comando. Si encuentras algo, trata la tienda como hackeada: empieza por el pago, como explico en qué hacer si hackean tu PrestaShop.

Si prefieres que lo haga yo

• Comprobar y corregir: el informe de seguridad de la tienda (169 €, IVA no incluido) lista con el conector de solo lectura la versión de cada módulo, también los desactivados, la cruza con los avisos publicados y compara cada archivo con el original. La lista de comprobación de la tienda, en seguridad PrestaShop.
• Si ya han entrado: la limpieza de PrestaShop hackeado cuesta 349 €, con 90 días de garantía, y empieza por el pago.
• Para no llegar tarde al próximo aviso: el mantenimiento PrestaShop (69 €/mes, sin permanencia) incluye la actualización de módulos con copia previa y la vigilancia diaria de la integridad de los archivos.

Fuentes

• Aviso GHSA-m5f5-28qr-9g9r de ps_facetedsearch (CVE-2026-54159, crítico 10,0, versiones 3.0.0 a 4.0.3, corregido en 4.0.4, publicado el 3 de junio de 2026, con las medidas temporales).
• Versiones de ps_facetedsearch en GitHub (4.0.4 con la corrección; 5.0.0 alineada con PrestaShop 8.2 y posteriores).
• NVD: CVE-2026-54159 (publicado el 17 de julio de 2026).
• INCIBE-CERT: CVE-2026-54159 (gravedad crítica, 10,0).
• PrestaShop 1.7.8 en soporte extendido (el mantenimiento de seguridad de 1.7.8 termina con la salida de PrestaShop 9.0.0).