Mage-OS 3.6.0: aggiornamento di sicurezza e cosa fare

Il 14 ottobre 2026 è uscito Mage-OS 3.6.0, una release di sicurezza: la community raccomanda di aggiornare ogni negozio Mage-OS 3.x. Include la correzione di Adobe del 13 ottobre (APSB26-153), che risolve una vulnerabilità critica con punteggio 10 su 10, sfruttabile senza autenticazione per eseguire codice sul server. L'aggiornamento è diretto da 3.5.x, senza cambi di dipendenze né di versione PHP. Ma c'è anche una modifica ai resi da controllare.

Cosa corregge

Le correzioni di sicurezza sono quelle del bollettino Adobe, portate nella versione Mage-OS. In parole semplici:

• Esecuzione di codice sul server (CVE-2026-103849): un attacco passa dal sistema dei modelli delle email e può prendere il controllo del negozio. È la falla da 10 su 10.
• Dati dei clienti esposti: con particolari ricerche tramite API potevano emergere gli hash delle password e i codici di reset.
• Accesso ai carrelli degli ospiti e controlli aggirabili nell'editor dei contenuti dell'amministrazione.
• Altre correzioni su anteprime dei modelli, validazione degli indirizzi email e prodotti aggiornati in blocco.

Per l'elenco completo guarda le note di rilascio di Mage-OS 3.6.0 e il bollettino Adobe. La release corregge anche sette errori non legati alla sicurezza, come i PDF degli ordini e l'esportazione dei clienti.

Attenzione ai resi

Con la release si aggiorna anche il modulo resi. Ora il periodo di reso si calcola dalla data di spedizione, per quantità: i prodotti scaduti appaiono non selezionabili e le etichette usano i termini del diritto di recesso, tradotte anche in italiano.

C'è però un punto da controllare prima di aggiornare. La legge fa partire il periodo dalla consegna, che il sistema non conosce. Per questo conviene aggiungere ai giorni di reso i tempi di consegna previsti. Se lasci il valore com'è, di fatto prolunghi ogni finestra di reso di quanto impiega la spedizione. Per il quadro normativo leggi il pulsante di recesso nell'e-commerce.

Cosa fare, in ordine

1. Controlla la versione Mage-OS. Con questa release la 3.5.0 non è più supportata.
2. Pianifica l'aggiornamento e provalo in un ambiente di test: da 3.5.x è diretto.
3. Rivedi i giorni di reso come spiegato sopra.
4. Dopo l'aggiornamento controlla carrello, pagamenti, ordini ed email.
5. Ricontrolla settembre. Per la vulnerabilità StyleSmuggler la sola patch non bastava: se non hai ancora seguito quelle indicazioni, rileggi StyleSmuggler: vulnerabilità critica e patch. Per la patch di ottobre Adobe raccomanda di ruotare anche le chiavi di cifratura e le credenziali collegate: valutalo con chi cura il tuo negozio.

Un aggiornamento al mese

Domande frequenti

Il mio negozio è su Magento Open Source, non su Mage-OS: mi riguarda?

Questa release è per Mage-OS. Per Adobe Commerce e Magento Open Source vale la patch Adobe di ottobre, che trovi spiegata in questo articolo.

Quanto è complicato aggiornare?

Da 3.5.x è un aggiornamento diretto, senza modifiche alle dipendenze. Va comunque provato in test e seguito da qualcuno che conosce il tuo negozio, perché tocca anche resi ed email.

Cosa succede se resto sulla 3.5.0?

Con questa release la 3.5.0 raggiunge la fine del supporto: non riceverà altre correzioni e resta esposta ai problemi di ottobre.

Aggiornamenti di sicurezza senza pensieri

Seguire una release al mese, provarla e pubblicarla senza fermare le vendite è un lavoro ricorrente. Con il servizio di manutenzione e supporto me ne occupo io, su Mage-OS, Magento e Adobe Commerce.

Vuoi sapere se il tuo negozio è aggiornato? Richiedi un audit di sicurezza e un preventivo gratuito.

Stai valutando il passaggio a Mage-OS? Guarda replatforming e migrazioni e Mage-OS Hackathon Italia: distribuzione per le aziende.

Articolo informativo: i dati derivano dalle note di rilascio di Mage-OS 3.6.0 del 14 ottobre 2026 e dal bollettino Adobe APSB26-153. Per le istruzioni di aggiornamento fai sempre riferimento alla documentazione ufficiale.