CVE-2026-84186: así se puede falsificar tu IP en tiendas PrestaShop tras un proxy o CDN

La reciente descubierta vulnerabilidad CVE-2026-84186 en PrestaShop pone en jaque la seguridad de las tiendas online al permitir a los atacantes falsificar sus direcciones IP.

Esta brecha, con una severidad media y un CVSS de 6.9, representa un peligro significativo para los negocios que utilizan PrestaShop y están detrás de un proxy, CDN o equilibrador de carga.

En este artículo, exploraremos cómo funciona este ataque que manipula la cabecera X-Forwarded-For y cómo puede comprometer la confianza en la infraestructura de red, permitiendo eludir controles de seguridad vitales.

Qué es CVE-2026-84186

CVE-2026-84186 es una vulnerabilidad relacionada con el control de acceso incorrecto en PrestaShop, la cual permite a los usuarios falsificar sus direcciones IP mediante el encabezado X-Forwarded-For.

Control de acceso incorrecto en Tools::getRemoteAddr()

El problema principal asociado a CVE-2026-84186 en PrestaShop es un control de acceso incorrecto en la función Tools::getRemoteAddr().

Este defecto permite a los atacantes no autenticados manipular la cabecera X-Forwarded-For para hacer que la aplicación interprete su conexión como proveniente de una dirección IP arbitraria.

Esto puede permitir eludir controles basados en IP, como la lista blanca en modo mantenimiento, y falsear registros de seguridad y auditoría.

Severidad media, CVSS 6.9

La vulnerabilidad tiene una severidad media con un puntaje CVSS de 6.9 y actua cuando el sistema está detrás de un proxy inverso, un equilibrador de carga o un CDN.

Es en ese momento cuando aplicación no procesa correctamente la cadena de IP, utilizando la dirección controlada por el visitante en lugar de la proporcionada por la infraestructura de confianza.

Esto permite a un atacante no autenticado hacer que el sistema interprete su conexión como proveniente de una dirección IP arbitraria, lo que puede permitir el bypass de controles basados en IP, como el modo de mantenimiento, y la evasión de mecanismos de terceros que dependen de la dirección IP.

¿Quién la ha descubierto?

La vulnerabilidad CVE-2026-84186 fue descubierta por Pedro Gabaldón Juliá y fue asignada por INCIBE, al comprobar como los atacantes no autenticados podian eludir controles basados en IP, como la lista blanca en modo de mantenimiento.

Esta vulnerabilidad también puede ser utilizada para falsificar registros de seguridad y auditoría, y para eludir mecanismos de terceros que dependen de la dirección IP, como comprobaciones de geolocalización, detección de fraude o limitación de solicitudes.

Cómo funciona el ataque

Manipulación de la cabecera X-Forwarded-For

La manipulación de la cabecera X-Forwarded-For afecta principalmente a tiendas web que utilizan PrestaShop y están detrás de un proxy inverso, balanceador de carga o CDN.

Este ataque aprovecha la confianza que PrestaShop tiene en la infraestructura de red para sustituir la dirección IP real del cliente por la de la infraestructura de confianza, permitiendo así el acceso no autorizado a la información.

Para prevenir este tipo de ataque, es importante que las tiendas web verifiquen la integridad de la cabecera X-Forwarded-For y validen la IP del visitante antes de confiar en ella.

Además, los firewalls y las configuraciones de seguridad de la red deben estar ajustadas para detectar y bloquear intentos de suplantación de IP.

Solo afecta a tiendas detrás de proxy, balanceador o CDN

El ataque de manipulación de la cabecera X-Forwarded-For solo afecta a tiendas web que utilizan PrestaShop y están detrás de un proxy inverso, un balanceador de carga o un CDN.

Este tipo de configuración puede llevar a PrestaShop a procesar incorrectamente la cadena de direcciones IP, permitiendo que la IP del visitante reemplace la IP de la infraestructura de confianza.

Esto puede ser problemático para tiendas que dependen de este tipo de configuraciones para protegerse contra el spam y el fraude.

Qué controles se pueden saltar

Bypass del modo mantenimiento por IP

El bypass del modo mantenimiento por IP implica acceder a sistemas restringidos utilizando direcciones IP específicas que los desarrolladores o administradores usan para realizar tareas de mantenimiento. Esta técnica permite saltar controles de seguridad que regulan el acceso a ciertas funciones.

Para realizar este bypass, es necesario tener conocimiento de la estructura de red y las direcciones IP reservadas para el modo mantenimiento. También es crucial disponer de permisos de usuario que permitan la interacción con estos sistemas.

Falsificación de logs de seguridad y auditoría

La falsificación de logs de seguridad y auditoría es una práctica riesgosa que puede comprometer la integridad de un sistema.

Esta acción implica crear registros falsos para ocultar actividades no autorizadas o para disfrazar actos maliciosos.

Los intrusos pueden utilizar técnicas avanzadas para manipular los registros de auditoría, lo que dificulta la detección y la respuesta a amenazas.

Para evitar la falsificación de logs, es fundamental implementar controles de acceso rigurosos y mecanismos de auditoría que incluyan la firma digital de registros, el uso de sistemas de detección de intrusiones y la monitorización constante de patrones anómalos. Estas medidas ayudan a mantener la confiabilidad y la transparencia de los registros de seguridad.

Evasión de geolocalización, antifraude y throttling

La evasión de controles como la geolocalización, antifraude y throttling requiere técnicas avanzadas y conocimientos específicos.

Estos sistemas están diseñados para prevenir actividades no autorizadas y garantizar la seguridad de los servicios. Para saltarse estas medidas, se pueden emplear técnicas como la manipulación de cabeceras de solicitud para simular ubicaciones geográficas falsas, el uso de proxies o redes virtuales privadas (VPNs) para eludir restricciones geográficas, y el desarrollo de scripts automatizados que cumplen con los límites de velocidad impuestos por los sistemas de throttling.

Versiones afectadas y parche disponible

Esta sección proporciona información sobre las versiones afectadas por problemas de seguridad y los parches disponibles para resolverlos, garantizando la protección y la estabilidad de tu tienda online PrestaShop.

Versiones anteriores a 9.1.5 y 8.2.8

Las versiones anteriores a 9.1.5 y 8.2.8 de PrestaShop requieren atención inmediata ya que no cuentan con los parches de seguridad más recientes. Estas versiones antiguas pueden estar expuestas a vulnerabilidades que podrían comprometer la seguridad de tu tienda online.

Es recomendable actualizar a la versión 9.1.5 o superior, ya que incluye mejoras en la compatibilidad con las normativas de accesibilidad europeas y una API administrativa mejorada. Además, proporciona un rendimiento más acelerado gracias a nuevas funcionalidades como One Page Checkout y Ask AI.

Aviso oficial de INCIBE con el parche

INCIBE ha emitido un aviso oficial sobre la disponibilidad de un parche crítico para PrestaShop. Este parche es crucial para todas las versiones 9.1.5 y 8.2.8, ya que corrige vulnerabilidades de seguridad importantes que podrían ser aprovechadas por malintencionados. Se recomienda a todos los usuarios actualizar sus sistemas lo antes posible para proteger sus tiendas online.

Cómo comprobar la versión instalada

Para verificar la versión instalada de PrestaShop, accede a tu panel de administración. Una vez dentro, busca la sección de información de la tienda o de configuración general, donde encontrarás el número de versión actualmente instalado.

Es importante mantener tu versión de PrestaShop actualizada para beneficiarte de las mejoras en rendimiento, seguridad y nuevas funciones. Puedes encontrar las versiones más recientes y las instrucciones de actualización en el sitio web oficial de PrestaShop.

Qué hacer si gestionas una tienda PrestaShop

Si eres propietario de una tienda PrestaShop, es crucial tomar medidas inmediatas para garantizar la seguridad de tu sitio web. Actualiza a la versión más reciente y revisa la configuración de tu proxy o CDN.

Actualizar a la versión parcheada cuanto antes

Es fundamental actualizar tu tienda PrestaShop a la versión más reciente con parches incluidos tan pronto como sea posible. Esto asegura que estés protegido contra vulnerabilidades conocidas y previene ataques maliciosos.

Antes de realizar la actualización, revisa la configuración de tu proxy y CDN para garantizar que no haya problemas durante el proceso de actualización. También es importante vigilar los registros de tu tienda para detectar cualquier intento previo de explotación de seguridad.

Revisar configuración de proxy/CDN mientras tanto

Si eres el administrador de una tienda PrestaShop, es crucial revisar la configuración de proxy y CDN una vez actualizada la versión de tu software. Esto asegura que los recursos de tu sitio web, como imágenes y scripts, se carguen de manera óptima y segura.

Además, es importante verificar si tu configuración de CDN ha cambiado recientemente o si ha habido modificaciones en el proxy, ya que estas pueden afectar el rendimiento y la seguridad de tu sitio web. Asegúrate de que todas las configuraciones estén actualizadas y compatibles con la nueva versión de PrestaShop.

Vigilar logs por si hay indicios de explotación previa

Si eres el administrador de una tienda PrestaShop, es crucial vigilar los registros de actividad para detectar cualquier señal de explotación. Esto te permitirá responder de manera rápida y efectiva a posibles amenazas de seguridad.

Recuerda revisar los registros periódicamente para garantizar que no se han introducido vulnerabilidades durante el tiempo que aún no has actualizado a la versión parcheada.