Adobe Commerce APSB26-153: patch critica di ottobre
· 4 min di lettura
Il 13 ottobre 2026 Adobe ha pubblicato il bollettino di sicurezza APSB26-153 per Adobe Commerce, il modulo B2B e Magento Open Source. Corregge 11 vulnerabilità: 5 classificate critiche, 5 alte e 1 media. Adobe dichiara di non essere a conoscenza di attacchi già in corso, ma chiede di applicare gli aggiornamenti il prima possibile: chi non lo fa resta vulnerabile e Adobe avrà strumenti limitati per aiutarlo. Il bollettino ufficiale ha tutti i dettagli.
Cosa è stato corretto
| Gravità | Quante | Possibile effetto |
|---|---|---|
| Critica | 5 | Esecuzione di codice sul server, escalation dei privilegi |
| Alta | 5 | Esecuzione di codice, scrittura di file sul server, aggiramento di controlli di sicurezza, escalation dei privilegi |
| Media | 1 | Aggiramento di controlli di sicurezza |
La più grave (CVE-2026-103849) ottiene il punteggio massimo, 10 su 10, e permette di eseguire codice sul server senza essere autenticati. Anche altre tre vulnerabilità critiche non richiedono l'autenticazione.
Quali negozi sono coinvolti
- Adobe Commerce dalla versione 2.4.4 alla 2.4.9, fino alle release di settembre 2026, sia su cloud sia sui propri server.
- Magento Open Source dalla 2.4.6 alla 2.4.9. Le correzioni vengono distribuite per la 2.4.7 e successive: chi è su una versione più vecchia non ha una patch.
- Modulo B2B nelle versioni dalla 1.3.3 alla 1.5.3.
Cosa fare, in ordine
- Controlla versione e tipo di hosting. Se sei su Adobe Commerce cloud, la correzione arriva con gli aggiornamenti automatici di Adobe: applicare a mano la patch quando c'è già può causare errori di installazione.
- Verifica la base. Le patch mensili sono provate solo sull'ultima release di sicurezza annuale della tua versione e vanno applicate in ordine: se ne hai saltata una, prima quella.
- Applica la patch di ottobre, il file giusto per la tua versione e per ogni componente installato.
- Applica anche l'hotfix per CVE-2026-75650, la vulnerabilità critica di settembre (bollettino APSB26-146), se non l'hai già fatto: Adobe chiede di installare entrambe. Ne abbiamo parlato in StyleSmuggler: vulnerabilità critica e patch.
- Ruota le chiavi di cifratura e le credenziali collegate. Adobe lo raccomanda con forza come parte della correzione.
- Verifica il risultato con lo strumento di Adobe che indica quali patch mancano e da quali vulnerabilità sei protetto. Prova tutto in un ambiente di test e pubblica in una fascia di poco traffico.
Perché non aspettare
Quattro delle vulnerabilità critiche non richiedono credenziali. Una volta pubblicato il bollettino, chi vuole attaccare un negozio sa che cosa cercare. Per questo non conviene rimandare, anche se Adobe non segnala attacchi in corso.
Il prossimo appuntamento è il 10 novembre: un rilascio facoltativo per il blocco del codice delle feste, come l'8 dicembre.
Domande frequenti
Devo applicare la patch subito?
Adobe raccomanda di applicare gli aggiornamenti il prima possibile. Con vulnerabilità critiche che non richiedono autenticazione, rimandare aumenta il rischio senza vantaggi.
Sono su Adobe Commerce cloud: cosa cambia?
La correzione è nell'aggiornamento dei pacchetti cloud di Adobe. Controlla prima la versione installata, perché applicare la patch manuale quando la correzione c'è già può far fallire l'installazione.
Il mio negozio è su una versione vecchia: che fare?
Per Magento Open Source, sotto la 2.4.7 non ci sono correzioni, e il bollettino non include versioni di Adobe Commerce precedenti alla 2.4.4. In quel caso la strada è aggiornare o cambiare piattaforma.
Aggiornamenti di sicurezza senza pensieri
Leggere i bollettini, provare le patch, ruotare le chiavi e verificare il risultato senza fermare le vendite è un lavoro ricorrente. Con il servizio di manutenzione e supporto me ne occupo io: le correzioni vengono lette, provate e pubblicate al momento giusto.
Vuoi sapere se il tuo negozio è aggiornato? Richiedi un audit di sicurezza e un preventivo gratuito.
Se il tuo negozio è su una versione che non riceve più correzioni, guarda replatforming e migrazioni.
Articolo informativo: i dati derivano dal bollettino APSB26-153 e dall'articolo di supporto Adobe del 13 ottobre 2026. Per le istruzioni di installazione fai sempre riferimento alla documentazione ufficiale.