Adobe ha pubblicato una nuova patch di sicurezza (APSB26-73) per Magento Open Source e Adobe Commerce, correggendo diverse vulnerabilità, tra cui una Privilege Escalation con severità critica (CVSS 9.6).
Se gestisci uno store Magento, questo è uno di quegli aggiornamenti che non andrebbero rimandati.
Cosa è stato rilasciato?
Il bollettino APSB26-73 include la correzione di numerose vulnerabilità di sicurezza che interessano:
- Magento Open Source
- Adobe Commerce (On-Premise)
- Adobe Commerce Cloud
Tra queste è presente una vulnerabilità classificata con CVSS 9.6, uno dei livelli di criticità più elevati nella scala CVSS.
Secondo Adobe, non risultano al momento exploit pubblici che sfruttino queste vulnerabilità, ma la raccomandazione ufficiale è quella di installare la patch il prima possibile.
Perché questa patch è importante?
Quando vengono pubblicati i dettagli di una vulnerabilità critica, il tempo diventa un fattore determinante.
Dopo la pubblicazione di una patch:
- gli attaccanti iniziano ad analizzare le modifiche introdotte;
- vengono sviluppati proof of concept;
- gli store che non vengono aggiornati diventano progressivamente più esposti.
Per questo motivo, la finestra tra il rilascio della patch e l’aggiornamento dei sistemi è uno degli aspetti più importanti nella strategia di sicurezza di un e-commerce.
Chi dovrebbe aggiornare?
L’aggiornamento è consigliato a tutti gli store che utilizzano:
- Magento Open Source
- Adobe Commerce
- Adobe Commerce Cloud
La verifica delle versioni interessate è disponibile nel bollettino ufficiale Adobe.
Cosa fare prima dell’aggiornamento
Come per ogni aggiornamento di sicurezza, è buona pratica seguire alcune precauzioni:
1. Verificare la versione installata
Accertarsi che lo store utilizzi una versione interessata dalla vulnerabilità.
2. Effettuare un backup completo
Prima di qualsiasi aggiornamento è consigliabile eseguire:
- backup del database;
- backup dei file;
- snapshot della macchina virtuale (se disponibile).
3. Installare la patch in ambiente di staging
Prima della produzione è opportuno verificare:
- compatibilità delle estensioni;
- eventuali personalizzazioni;
- corretto funzionamento del checkout;
- processi di pagamento;
- integrazioni ERP, CRM e sistemi esterni.
4. Distribuire la patch in produzione
Solo dopo i test è consigliabile procedere con il rilascio sull’ambiente live.
5. Monitorare lo store
Dopo l’aggiornamento è buona pratica verificare:
- log applicativi;
- errori PHP;
- log web server;
- performance;
- eventuali anomalie nei processi di pagamento.
La sicurezza non è un aggiornamento. È un processo.
Ogni volta che viene rilasciata una patch critica emerge un concetto fondamentale.
La sicurezza di un e-commerce non dipende solamente dalla piattaforma utilizzata, ma soprattutto da come viene gestita nel tempo.
Un’infrastruttura sicura richiede:
- aggiornamenti costanti;
- monitoraggio continuo;
- backup verificati;
- Web Application Firewall (WAF);
- controllo dei log;
- scansioni periodiche;
- manutenzione programmata.
La maggior parte degli incidenti di sicurezza che vediamo ogni anno non deriva da vulnerabilità sconosciute, ma da sistemi che non sono stati aggiornati per mesi o addirittura anni.
Come possiamo aiutarti
Il team di Magentiamo con partner specializzati supporta aziende e merchant nelle attività di:
- aggiornamento Magento Open Source e Adobe Commerce;
- installazione delle patch di sicurezza;
- security assessment;
- hardening dell’infrastruttura;
- verifica di compatibilità con estensioni e personalizzazioni;
- piani di manutenzione continuativa.
Se hai dubbi sulla versione installata o desideri pianificare l’aggiornamento in sicurezza, contattaci.
Riferimenti ufficiali
Per consultare il bollettino Adobe con l’elenco completo delle vulnerabilità corrette e delle versioni interessate:
Adobe Security Bulletin APSB26-73
https://helpx.adobe.com/security/products/magento/apsb26-73.html
Autore: Magentiamo
La community italiana dedicata a Magento Open Source e Adobe Commerce.