Stripe for WooCommerce 10.8.5: qué revisar si vendes online

Qué ha pasado con Stripe for WooCommerce

WooCommerce publicó un aviso de seguridad para Stripe for WooCommerce, el plugin oficial creado por Stripe y WooCommerce para aceptar pagos en tiendas WooCommerce. El aviso cubre las versiones 9.7.0 a 10.8.4 y recomienda actualizar cada tienda afectada a 10.8.5 o al build parcheado de su rama actual.

La compañía explica que los problemas se encontraron mediante pruebas internas de Automattic. También afirma que no tiene evidencia de explotación real y que no tiene evidencia de acceso a datos de tienda, clientes o pagos. El punto más serio, según el aviso, podría hacer que una tienda afectada dejara de estar disponible bajo determinadas circunstancias.

La página pública del plugin en WordPress.org ya muestra la versión 10.8.5, fechada el 5 de agosto de 2026, con una nota breve de changelog: mejora del manejo de webhooks. La brevedad del changelog no significa que el cambio sea menor; WooCommerce avisa de que no publicará detalles procedimentales mientras haya tiendas pendientes de actualizar.

A qué tiendas WooCommerce afecta primero

Afecta a tiendas que usan Stripe for WooCommerce en versiones 9.7.0 a 10.8.4. Si la tienda usa otro plugin de Stripe, WooPayments u otra pasarela, el aviso no se aplica de la misma forma: hay que comprobar el nombre exacto del plugin instalado en WordPress.

WooCommerce recomienda 10.8.5 como versión parcheada principal. Para tiendas que no puedan cambiar de rama de inmediato, publicó builds parcheados por línea de versión. Las versiones anteriores a 9.7.0 no están afectadas por este problema concreto, pero siguen siendo antiguas y no deberían quedarse fuera del plan de mantenimiento.

Por qué importa para una tienda online

La pasarela de pago es una dependencia de margen diario. Un problema de disponibilidad en checkout no se ve como una incidencia técnica abstracta: se ve como pedidos que no entran, campañas que gastan presupuesto y soporte preguntando por pagos fallidos.

Stripe for WooCommerce no es un plugin pequeño. La ficha de WooCommerce Marketplace lo muestra con versión 10.8.5 y más de 700.000 instalaciones activas, y WordPress.org describe soporte para tarjetas, wallets, métodos locales, suscripciones, SCA y modo de pruebas. Cuantas más funciones uses, más importante es no limitar la revisión a “el plugin actualizó sin error”.

También hay contexto reciente. El aviso del 6 de agosto es separado del parche de validación de pagos publicado el 14 de julio. Por eso una tienda que ya había actualizado a 10.6.2, 10.7.1 o 10.8.4 por el aviso anterior debe volver a revisar la versión.

• Si dependes de Stripe para la mayor parte de ingresos, este parche entra en mantenimiento crítico de checkout.
• Si usas suscripciones, wallets, métodos locales o Adaptive Pricing, prueba más de un flujo de pago.
• Si gestionas varias tiendas o clientes, no asumas que el auto-update llegó a todas.
• Si recibes un email urgente de actualización, entra por wp-admin o fuentes oficiales, no por enlaces dudosos.

Qué revisaría esta semana antes de darlo por cerrado

Primero haría inventario. En WordPress Admin, entra en Plugins, busca WooCommerce Stripe Payment Gateway o Stripe for WooCommerce y anota la versión exacta. Repite el proceso en producción, staging y cualquier tienda clonada que pueda recibir tráfico o webhooks.

Después actualizaría con una copia reciente y una ventana de bajo tráfico. Si el hosting o WordPress ya aplicó la actualización automática, confirmaría igualmente que la versión final es 10.8.5 o una de las ramas parcheadas listadas por WooCommerce.

La prueba mínima debe pasar por caja, no quedarse en el panel de plugins. Haz una compra de importe bajo en modo test o con flujo controlado, comprueba tarjeta, Apple Pay o Google Pay si los usas, revisa que el pedido cambia al estado correcto, que Stripe recibe el pago, que WooCommerce recibe el webhook y que el email transaccional se dispara.

• Version instalada: 10.8.5 o build parcheado correspondiente.
• Checkout: tarjeta, wallets, métodos locales relevantes y mensajes de error.
• Pedidos: estado correcto, notas internas, stock, impuestos y email de confirmación.
• Stripe Dashboard: pago, evento, webhook y conciliación básica.
• Rollback: copia, rama previa y responsable definido si algo falla.

Qué no conviene hacer con este aviso

No conviene retrasar el parche esperando todos los detalles técnicos. WooCommerce ha retenido información procedimental precisamente para no facilitar ataques contra tiendas sin actualizar. La falta de CVE público o explicación profunda no convierte la actualización en opcional.

Tampoco conviene actualizar a ciegas en mitad de una campaña si tu checkout está muy personalizado. La acción razonable es preparar copia, probar en staging cuando exista y desplegar rápido con verificación posterior. Si no tienes staging, al menos elige una franja de menor tráfico y registra qué pruebas hiciste.

Por último, no mezcles este aviso con cualquier incidencia de Stripe. Si tras actualizar aparecen errores de pago, revisa logs, webhooks, caché, optimizadores de JavaScript, tema y extensiones de checkout. El parche puede ser necesario y aun así no explicar todos los fallos de caja.

La siguiente señal a vigilar

Durante los próximos días vigilaría tres señales: nuevas actualizaciones del advisory, problemas reportados por tiendas en soporte y variaciones en conversión de checkout. Un descenso de conversión después del parche no debe atribuirse automáticamente a seguridad; hay que separar errores reales, cambios de métodos de pago y ruido de campaña.

Si trabajas con agencia o soporte técnico, la pregunta útil no es “¿está actualizado?”, sino “¿qué versión exacta corre producción, qué flujo de pago se probó y qué webhook confirmó el pedido?”. Esa respuesta deja rastro operativo y reduce el riesgo de descubrir el fallo con clientes reales.