Alerta crítica de seguridad: Se ha publicado la CVE-2026-85520, una vulnerabilidad de severidad CRITICAL que afecta al módulo Google Merchant Center Feed (gmfeed) para PrestaShop, desarrollado por MyPresta. La falla permite a un atacante no autenticado escribir archivos arbitrarios en el servidor a través del endpoint feed.php, lo que puede derivar en la ejecución remota de código (RCE) y el compromiso total del sitio. Se recomienda aplicar la actualización a la versión 2.3.9 de forma inmediata.
Resumen ejecutivo
El equipo de Ryzer ha identificado una vulnerabilidad crítica en el módulo Google Merchant Center Feed (gmfeed) para PrestaShop, desarrollado por MyPresta. Esta falla, registrada como CVE-2026-85520, permite a un atacante remoto no autenticado escribir archivos arbitrarios en el servidor mediante el endpoint feed.php. La explotación exitosa de esta vulnerabilidad puede resultar en la ejecución remota de código (RCE), comprometiendo la confidencialidad, integridad y disponibilidad del sitio afectado.
| CVE | CVE-2026-85520 |
|---|---|
| Fabricante | MyPresta |
| Producto | Google Merchant Center Feed |
| Fecha de publicación | 2026-09-29 |
| Severidad | CRITICAL |
| Puntuación CVSS | 9.3 (CVSS:4.0) |
| Prioridad Ryzer | 215 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-85520 es una vulnerabilidad de escritura arbitraria de archivos sin autenticación en el módulo Google Merchant Center Feed (gmfeed) para PrestaShop. El fallo reside en el endpoint feed.php, donde un atacante puede enviar una solicitud manipulada que controla el nombre del archivo de salida, la ruta, la extensión y el contenido a través de parámetros de la petición.
La causa raíz del problema es la falta de autenticación y la ausencia de validación de entrada en el procesamiento de las solicitudes. Esto permite que la petición maliciosa sea procesada con éxito, otorgando al atacante la capacidad de escribir y ejecutar código PHP arbitrario en el servidor.
La vulnerabilidad está clasificada bajo la categoría CWE-73 (External control of file name or path), que se refiere al control externo del nombre o la ruta de un archivo. Esta debilidad permite a un atacante manipular la ubicación y el contenido de los archivos escritos, lo que facilita la ejecución de código arbitrario.
El vector CVSS asociado es CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L, lo que indica que la vulnerabilidad es explotable de forma remota sin necesidad de autenticación, con una complejidad de ataque baja y un impacto alto en la confidencialidad, integridad y disponibilidad del sistema.
La versión afectada del módulo es la 1.9.1 y todas las versiones hasta la 2.3.8 inclusive. El fabricante ha publicado una corrección en la versión 2.3.9, que resuelve el problema de forma definitiva.
Dado que la vulnerabilidad permite la ejecución remota de código sin requerir credenciales, el riesgo para las tiendas PrestaShop que utilizan este módulo es extremadamente alto. Un atacante podría comprometer completamente el servidor, acceder a datos sensibles, modificar el contenido del sitio o utilizarlo como punto de partida para ataques adicionales.
Es importante destacar que la vulnerabilidad fue publicada recientemente y ha sido seleccionada por su criticidad, relevancia y puntuación RyzerBot, lo que subraya la urgencia de aplicar las medidas correctivas correspondientes.
Productos y versiones vulnerables
Según la información publicada por CVE.org y NVD, la vulnerabilidad afecta al módulo Google Merchant Center Feed (gmfeed) para PrestaShop, desarrollado por MyPresta. El problema se localiza en el endpoint feed.php.
Las versiones afectadas son las siguientes:
| Producto | Fabricante | Versiones afectadas | Versión corregida |
|---|---|---|---|
| Google Merchant Center Feed (gmfeed) | MyPresta | Desde 1.9.1 hasta 2.3.8 (ambas incluidas) | 2.3.9 |
La versión 2.3.9 corrige la vulnerabilidad, según se indica en la descripción de CVE-2026-85520. No se han publicado otras versiones afectadas ni ramas de soporte adicionales en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad presenta una puntuación CVSS de 9.3 (CRITICAL) según el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X. Esta calificación refleja un riesgo extremo por varios motivos:
- Acceso remoto sin autenticación: el vector indica que no se requiere privilegios ni interacción del usuario (PR:N, UI:N), y la red de ataque es adyacente o remota (AV:N).
- Escritura arbitraria de archivos: un atacante puede controlar el nombre, la ruta, la extensión y el contenido del archivo de salida a través de parámetros de la solicitud al endpoint
feed.php. - Ejecución remota de código (RCE): al poder escribir archivos PHP arbitrarios en el servidor, el atacante puede ejecutar código malicioso con los permisos del proceso de PrestaShop, comprometiendo la confidencialidad, integridad y disponibilidad del servidor (VC:H, VI:H, VA:H).
- Impacto limitado en subrecursos: el vector también indica un impacto bajo en la confidencialidad, integridad y disponibilidad de subrecursos (SC:L, SI:L, SA:L), lo que sugiere que el compromiso podría extenderse parcialmente a otros componentes del sistema.
La clasificación CWE asignada es CWE-73 (External control of file name or path), lo que confirma que el problema radica en la falta de validación de las entradas que controlan la ubicación y el nombre del archivo generado. La combinación de falta de autenticación y validación insuficiente convierte a esta vulnerabilidad en un objetivo atractivo para ataques automatizados.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad en entornos reales. No se mencionan campañas, malware asociado ni pruebas de concepto públicas en los datos disponibles. El campo ransomware del contexto indica «No usado como criterio», lo que refuerza que no hay evidencia de uso en ataques de ransomware.
Sin embargo, la naturaleza de la vulnerabilidad (escritura arbitraria de archivos sin autenticación) es técnicamente explotable y podría ser objetivo de escaneos automatizados. Se recomienda aplicar la actualización disponible de forma inmediata, sin esperar a que se confirme explotación pública.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo enrichment.ioc está vacío y no se debe inventar información al respecto. En consecuencia, no hay IOC publicados para esta vulnerabilidad en las referencias de NVD o CVE.org.
Se recomienda a los administradores revisar los registros de acceso al endpoint feed.php en busca de solicitudes inusuales o parámetros anómalos, así como monitorizar la creación de archivos PHP no esperados en el directorio del módulo o en rutas accesibles del servidor.
Cómo comprobar si estás afectado
Para determinar si tu instalación de PrestaShop es vulnerable a CVE-2026-85520, debes verificar la versión del módulo Google Merchant Center Feed (gmfeed) que tienes instalada. Según la información publicada por CVE.org, las versiones afectadas son aquellas comprendidas entre la 1.9.1 y la 2.3.8 inclusive.
El método más fiable para conocer la versión exacta es acceder al panel de administración de tu PrestaShop y navegar hasta la sección de módulos instalados. Localiza «Google Merchant Center Feed» y consulta la información de versión que se muestra en su ficha. Si tu versión es igual o inferior a 2.3.8, tu tienda está expuesta a la vulnerabilidad.
También puedes revisar el sistema de archivos del servidor. El módulo se instala normalmente en el directorio /modules/gmfeed/. Dentro de este directorio, el archivo config.xml o el propio gmfeed.php suelen contener una referencia a la versión en su cabecera. Sin embargo, ten en cuenta que este método requiere acceso al servidor y conocimientos técnicos para interpretar los archivos.
Nota importante: La vulnerabilidad reside en el endpoint
feed.phpy permite la escritura arbitraria de archivos sin autenticación. Esto significa que un atacante remoto podría explotarla sin necesidad de credenciales. Si no puedes confirmar la versión de forma inmediata, trata tu instalación como potencialmente vulnerable y aplica las medidas de mitigación descritas a continuación.
Mitigación y actualización
La única solución definitiva confirmada por el fabricante es la actualización del módulo a la versión 2.3.9 o superior. Según el aviso oficial de MyPresta, esta versión corrige la vulnerabilidad de escritura arbitraria de archivos en feed.php.
El procedimiento recomendado es el siguiente:
- Accede al panel de administración de PrestaShop.
- Ve a la sección «Módulos» y busca «Google Merchant Center Feed».
- Si está disponible la opción de actualización, haz clic en «Actualizar». Si no aparece, descarga la última versión desde el sitio oficial de MyPresta e instálala manualmente.
- Tras la actualización, verifica que la versión instalada sea la 2.3.9 o posterior.
- Limpia la caché de PrestaShop para asegurar que los cambios se aplican correctamente.
Mientras tanto, si no puedes actualizar de inmediato, considera las siguientes medidas temporales de contención:
- Restringir el acceso al endpoint vulnerable: Configura el servidor web (Apache, Nginx) para bloquear las peticiones externas a
/modules/gmfeed/feed.php. Esto puede hacerse mediante reglas de denegación por IP o mediante autenticación HTTP básica. - Deshabilitar el módulo: Si el feed no es crítico para tu operación, desactívalo temporalmente desde el panel de administración. Esto elimina la exposición al endpoint vulnerable.
- Monitorizar los registros del servidor: Revisa los logs de acceso en busca de peticiones sospechosas dirigidas a
feed.phpcon parámetros inusuales. La explotación típica implicaría intentos de escritura de archivos con extensiones como.php.
Estas medidas son paliativas y no sustituyen a la actualización. La exposición persistente a la vulnerabilidad, incluso con mitigaciones, supone un riesgo significativo para la integridad de tu tienda y sus datos.
Checklist para administradores
- ☐ He identificado la versión exacta del módulo Google Merchant Center Feed instalado en mi PrestaShop.
- ☐ He confirmado si mi versión está dentro del rango afectado (1.9.1 a 2.3.8 inclusive).
- ☐ He actualizado el módulo a la versión 2.3.9 o superior, o he programado la actualización de forma inmediata.
- ☐ He verificado que la actualización se ha aplicado correctamente y que la nueva versión aparece en el panel de administración.
- ☐ He limpiado la caché de PrestaShop tras la actualización.
- ☐ He revisado los registros del servidor en busca de intentos de explotación previos (peticiones anómalas a
feed.php). - ☐ He restringido el acceso al endpoint
feed.phpcomo medida temporal si la actualización no es posible de inmediato. - ☐ He comprobado que no se han creado archivos PHP no autorizados en el directorio del módulo o en otras ubicaciones del servidor.
- ☐ He notificado al equipo de desarrollo o al responsable de seguridad de mi organización sobre esta vulnerabilidad.
- ☐ He programado una revisión periódica de las actualizaciones de seguridad para todos los módulos de PrestaShop.
Preguntas frecuentes
¿Qué es CVE-2026-85520?
Es una vulnerabilidad crítica (CVSS 9.3) en el módulo Google Merchant Center Feed para PrestaShop. Permite a un atacante no autenticado escribir archivos arbitrarios en el servidor a través del endpoint feed.php, lo que puede derivar en ejecución remota de código (RCE).
¿Qué versiones del módulo están afectadas?
Según CVE.org, las versiones afectadas son todas aquellas comprendidas entre la 1.9.1 y la 2.3.8, inclusive. La versión 2.3.9 corrige el problema.
¿Cómo puedo saber si mi tienda ha sido comprometida?
Revisa los registros del servidor en busca de peticiones sospechosas a feed.php con parámetros que intenten controlar el nombre, la ruta o el contenido del archivo de salida. También busca archivos PHP inusuales en el directorio del módulo o en otras ubicaciones del servidor. Si encuentras indicios, contacta con un especialista en seguridad.
¿La vulnerabilidad requiere autenticación para ser explotada?
No. La descripción de la vulnerabilidad indica explícitamente que la explotación es posible sin autenticación. Cualquier atacante con acceso a la red puede intentar explotarla.
¿Qué es CWE-73?
Es la clasificación de la debilidad subyacente: «Control externo del nombre o la ruta del archivo». Esto significa que el módulo no valida adecuadamente los parámetros que controlan dónde y cómo se escribe el archivo de salida.
¿Existen indicadores de compromiso (IOC) publicados?
No. Las fuentes consultadas (NVD y CVE.org) no han publicado indicadores de compromiso estructurados para esta vulnerabilidad. No deben inventarse ni asumirse IOC específicos sin evidencia.
Fuentes oficiales
Para obtener información detallada y actualizada, consulta las siguientes referencias oficiales:
- NVD – Detalle de CVE-2026-85520
- Aviso de CERT Polonia sobre CVE-2026-85520
- Aviso de seguridad de MyPresta sobre Google Merchant Center Feed
Se recomienda revisar periódicamente estas fuentes para conocer cualquier actualización adicional sobre la vulnerabilidad o las medidas de mitigación recomendadas.