# ¿Es seguro seguir con PrestaShop 1.7 en 2026?

> PrestaShop 1.7 en 2026: desde cuándo no tiene parches, qué fallos publicados le afectan, el problema de PHP 7.4 y qué hacer si tu tienda sigue en 1.7.

URL: https://webintacta.com/guias/prestashop-1-7-es-seguro
Última actualización: 2026-10-23

**En resumen:** No: PrestaShop 1.7 no recibe parches de seguridad desde el 10 de junio de 2025, cuando salió PrestaShop 9.0.0 y terminó el mantenimiento de la rama 1.7.8; la última versión es la 1.7.8.11, de enero de 2024. Además funciona como mucho con PHP 7.4, sin parches desde noviembre de 2022, y los fallos del núcleo publicados después (por ejemplo, la CVE-2026-44212, crítica) no tienen arreglo para 1.7. Lo recomendable es pasar a 8.2 y después a 9; mientras tanto, el riesgo se reduce con módulos al día y vigilancia de archivos.


Por Jose Soriano (WebIntacta) · publicada el 2026-10-17

Muchas de las tiendas que reviso siguen en PrestaShop 1.7 y funcionan bien: venden, el back-office responde y nadie ha notado nada. La pregunta de si es seguro seguir así tiene una respuesta concreta, con fechas, y no depende de opiniones. Aquí están los datos del propio proyecto PrestaShop y de PHP, y lo que haría yo con una tienda en 1.7 según el caso.

## Las fechas que importan

| Hecho | Fecha | Fuente |
| --- | --- | --- |
| Sale PrestaShop 8.0.0 y la rama 1.7.8 pasa a recibir solo arreglos críticos y de seguridad | 26 de octubre de 2022 | Anuncio del proyecto y versiones en GitHub |
| PHP 7.4, el más alto que admite 1.7.8, deja de recibir parches de seguridad | 28 de noviembre de 2022 | php.net |
| Última versión publicada de 1.7: 1.7.8.11 | 2 de enero de 2024 | Versiones de PrestaShop en GitHub |
| Sale PrestaShop 9.0.0 y termina el mantenimiento de 1.7 | 10 de junio de 2025 | Anuncio del proyecto y versiones en GitHub |
| La rama 8.2 sigue en soporte extendido hasta que salga PrestaShop 10.0.0 | En vigor (octubre de 2026) | Anuncio del proyecto PrestaShop |

Comprobado el 17 de octubre de 2026 en las fuentes del final de la guía.

El anuncio del proyecto lo dice sin rodeos: el periodo de mantenimiento de 1.7.8 terminaría con la publicación de PrestaShop 9.0.0, y desde ese día 1.7 dejaría de mantenerse. PrestaShop 9.0.0 se publicó el 10 de junio de 2025.

## Qué significa «sin soporte» en la práctica

Cuando alguien descubre un fallo en el núcleo de PrestaShop, el proyecto publica un aviso con las versiones afectadas y las que lo corrigen. Desde 2025, los arreglos salen para 8.2 y 9, no para 1.7. Un ejemplo real: la **CVE-2026-44212** (gravedad crítica, 9,3), un XSS almacenado que permite a un atacante sin cuenta enviar el formulario de contacto con un correo manipulado y hacerse con la sesión del empleado que abre ese mensaje en el back-office. El aviso oficial marca como afectadas las versiones anteriores a 8.2.6 y la corrige en 8.2.6 y 9.1.1; no hay versión de 1.7 con el arreglo.

- **Cada aviso nuevo del núcleo es un manual público** de cómo atacar las tiendas que no pueden actualizar. Además de la CVE-2026-44212, otros avisos publicados desde septiembre de 2025 marcan como afectadas todas las versiones anteriores a 8.2.x, lo que incluye 1.7: la CVE-2026-33673 (XSS almacenado, gravedad alta), la CVE-2026-25597 y la CVE-2025-51586 (averiguar qué correos tienen cuenta en la tienda). Todos se corrigen solo en 8.2 y 9.
- **PHP 7.4 tampoco recibe parches** desde noviembre de 2022. Un fallo de PHP descubierto ahora queda abierto en tu servidor, y cada vez más hostings retiran 7.4 o lo cobran como soporte extendido. Ha pasado ya: los dos fallos críticos de [PHP2Shell](https://webintacta.com/guias/php2shell-vulnerabilidad-php), publicados en octubre de 2026, no tienen versión oficial corregida para PHP 8.1 ni anteriores.
- **Los módulos de terceros abandonan 1.7.** Cuando el autor corrige un fallo, a menudo solo publica la versión para 8 o 9. Es el problema más serio, porque la mayoría de intrusiones en PrestaShop entran por un módulo, no por el núcleo: lo explico en [módulos de PrestaShop vulnerables](https://webintacta.com/guias/modulos-prestashop-vulnerables). Pasa incluso con módulos oficiales: el fallo crítico de [ps_facetedsearch](https://webintacta.com/guias/ps-facetedsearch-vulnerabilidad), el módulo de filtros que traen casi todas las tiendas, se corrigió en la 4.0.4, y la rama actual del módulo ya es solo para PrestaShop 8.2 y posteriores.

## Entonces, ¿me van a hackear?

No necesariamente mañana, pero el riesgo solo crece. Lo que decide si una tienda 1.7 está expuesta hoy es: qué módulos tiene y en qué versión, si hay archivos que ya no deberían estar (la carpeta `install`, copias `.zip` o `.sql` en la raíz, módulos desactivados que siguen en el servidor), si el back-office está protegido y si alguien vigila los cambios en los archivos. He visto tiendas 1.7 bien cuidadas y tiendas 8 con un skimmer en el pago desde hace meses: la versión es un factor importante, no el único.

Una forma rápida de saber cómo está la tuya: el [análisis gratuito](https://webintacta.com/analisis-seguridad-web-gratis) detecta desde fuera la versión, módulos visibles con fallos publicados y archivos expuestos, en unos minutos y sin registro.

## Qué hacer si sigues en 1.7

1. **Planifica la actualización.** De 1.7 no se puede ir directo a 9 porque no hay ninguna versión de PHP que valga para las dos: se pasa a 8.2 con PHP 7.4, se sube PHP a 8.1 y después se actualiza a 9. Los pasos, en [actualizar PrestaShop](https://webintacta.com/guias/actualizar-prestashop).
2. **Mientras tanto, reduce la superficie:** desinstala y borra los módulos que no usas, actualiza los de terceros a la última versión compatible con 1.7 y sustituye los abandonados que tengan fallos publicados.
3. **Protege el back-office:** carpeta de administración con nombre no evidente, empleados revisados, contraseñas largas y distintas, y, si el hosting lo permite, acceso limitado por IP.
4. **Vigila la integridad de los archivos y el pago.** Saber al día siguiente que alguien ha modificado `classes/Cart.php` o un módulo de pago es la diferencia entre un susto y meses de tarjetas robadas. Las señales de un skimmer están en [robo de tarjetas en tu tienda](https://webintacta.com/guias/robo-de-tarjetas-tienda-online).
5. **Copias de seguridad fuera del servidor**, probadas, por si hay que volver atrás.

> Si sospechas que la tienda ya está comprometida, no actualices encima: una actualización no borra una puerta trasera ni un override malicioso. Primero se revisa y se limpia; los pasos están en [PrestaShop hackeado: qué hacer](https://webintacta.com/guias/prestashop-hackeado-que-hacer).

## Cómo te puedo ayudar

Trabajo a diario con PrestaShop, de 1.6 a 9, y el conector de solo lectura funciona en 1.7. El [informe de seguridad para tiendas](https://webintacta.com/auditoria-seguridad-web) (169 €) revisa tu 1.7 por dentro: integridad del núcleo archivo por archivo, módulos cruzados con los avisos publicados, overrides y pago (la lista completa, en [seguridad PrestaShop](https://webintacta.com/seguridad-prestashop)). El [mantenimiento PrestaShop](https://webintacta.com/mantenimiento-prestashop) (69 €/mes, sin permanencia) mantiene la tienda tan protegida como se puede mientras preparas el salto, y la migración de versión mayor se presupuesta aparte, con precio cerrado. Precios IVA no incluido.

## Fuentes

- [PrestaShop: 1.7.8 en fase de soporte extendido](https://build.prestashop-project.org/news/2023/178-in-extended-support-phase/) (el mantenimiento termina al publicarse 9.0.0)
- [PrestaShop 1.7.8.11 en GitHub](https://github.com/PrestaShop/PrestaShop/releases/tag/1.7.8.11) (última versión de 1.7, 2 de enero de 2024) y [PrestaShop 9.0.0](https://github.com/PrestaShop/PrestaShop/releases/tag/9.0.0) (10 de junio de 2025)
- [PrestaShop: 8.2.x en soporte extendido](https://build.prestashop-project.org/news/2025/82x-extended-support-phase/)
- [Aviso de seguridad GHSA-w9f3-qc75-qgx9 (CVE-2026-44212)](https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-w9f3-qc75-qgx9) y [su ficha en NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-44212)
- [Todos los avisos de seguridad del núcleo de PrestaShop](https://github.com/PrestaShop/PrestaShop/security/advisories)
- [Requisitos de sistema de PrestaShop 1.7](https://devdocs.prestashop-project.org/1.7/basics/installation/system-requirements/) (PHP hasta 7.4 en 1.7.8)
- [PHP: versiones sin soporte](https://www.php.net/eol.php) (PHP 7.4, fin de soporte el 28 de noviembre de 2022)

## Preguntas frecuentes

### ¿PrestaShop 1.7 sigue teniendo soporte?

No. El mantenimiento de la rama 1.7.8 terminó al publicarse PrestaShop 9.0.0, el 10 de junio de 2025. La última versión de 1.7 es la 1.7.8.11, de enero de 2024.

### ¿Es seguro PrestaShop 1.7.8.11?

Es la versión más segura de 1.7, pero no recibe los arreglos publicados después: por ejemplo, la CVE-2026-44212 (crítica) se corrigió en 8.2.6 y 9.1.1, no en 1.7. Además depende de PHP 7.4, que no tiene parches desde noviembre de 2022.

### ¿Qué versión de PrestaShop tiene soporte en 2026?

La rama 9 (la 9.2.0 salió el 30 de septiembre de 2026) y la 8.2, que está en soporte extendido hasta que salga PrestaShop 10.0.0. Las versiones 1.6, 1.7, 8.0 y 8.1 ya no reciben parches.

### ¿Puedo pasar de PrestaShop 1.7 a 9 directamente?

En la práctica no: 1.7.8 funciona como mucho con PHP 7.4 y PrestaShop 9 necesita PHP 8.1 o superior. Lo normal es pasar a 8.2, subir PHP y después pasar a 9.

### ¿Cuánto cuesta revisar la seguridad de una tienda PrestaShop 1.7?

El análisis externo es gratis. El informe de seguridad para tiendas, con el conector de solo lectura, cuesta 169 € (IVA no incluido) y se descuenta si después contratas limpieza o mantenimiento.

## Sobre el autor

[Jose Soriano](https://webintacta.com/quien-soy): Desarrollador fullstack especializado en PrestaShop, WordPress y WooCommerce, con el curso y el examen oficiales de PrestaShop aprobados. Desarrolla tiendas online y módulos desde 2023 y es el fundador de WebIntacta, el servicio de seguridad web con el que analiza, limpia y mantiene él mismo webs de pymes y tiendas online, en remoto desde Ibi (Alicante). Datos de WebIntacta: https://webintacta.com/quien-soy#datos