Falle sfruttate a fine ottobre 2026: kernel Linux, Node.js, Magento, GitLab e Drupal
Tra il 27 e il 30 ottobre 2026 l'agenzia statunitense CISA ha aggiunto otto vulnerabilità al catalogo di quelle sfruttate attivamente, e Drupal ha segnalato una falla sfruttata in Commerce Core. Diverse riguardano server, shop e strumenti usati anche dalle PMI ticinesi: le versioni corrette e cosa verificare.
In quattro giorni lavorativi, dal 27 al 30 ottobre 2026, l'agenzia statunitense per la cibersicurezza CISA ha aggiunto otto vulnerabilità al suo catalogo delle vulnerabilità sfruttate (Known Exploited Vulnerabilities, KEV). Il catalogo elenca solo falle per cui esistono prove di attacchi reali: non è una lista di rischi teorici. Nello stesso periodo il team di sicurezza di Drupal ha pubblicato un avviso su una falla già sfruttata nel modulo di e-commerce più diffuso.
Non tutte riguardano una PMI. Alcune però toccano componenti molto comuni: il kernel dei server Linux, Node.js, gli shop Magento e Drupal, GitLab installato in proprio. Qui sotto trovate, per ognuna, chi è interessato e quale versione installare. Non riportiamo dettagli tecnici sul modo in cui vengono sfruttate.
Kernel Linux: CVE-2026-46300
La falla, resa pubblica il 13 maggio 2026, permette a chi ha già un accesso limitato a un server Linux di ottenere i privilegi di amministratore (root). Il punteggio CVSS è 7,8. Il 28 ottobre 2026 CISA l'ha inserita nel catalogo, indicando che viene usata in combinazione con le falle PHP CVE-2026-109618 e CVE-2026-109619: prima si entra dal sito, poi si prende il controllo dell'intero server.
Le distribuzioni hanno pubblicato kernel corretti da tempo. Ubuntu indica, tra le altre, le versioni 5.15.0-181.191 per 22.04, 6.8.0-124.124 per 24.04 e 7.0.0-22.22 per 26.04. AlmaLinux indica kernel-4.18.0-553.124.3.el8_10 per la versione 8, 5.14.0-611.54.5.el9_7 per la 9 e 6.12.0-124.56.3.el10_1 per la 10. Un punto spesso trascurato: il kernel nuovo protegge solo dopo il riavvio del server. Un aggiornamento installato a maggio su una macchina mai riavviata lascia il server esposto.
PHP: il collegamento con le falle di ottobre
Le due falle PHP erano state segnalate dall'UFCS il 21 ottobre 2026 e trattate nel nostro articolo del 22 ottobre. La combinazione con la falla del kernel rende l'aggiornamento ancora più urgente: chi non ha ancora installato PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o la correzione equivalente del proprio fornitore, dovrebbe aggiornare PHP e kernel insieme e poi verificare il server alla ricerca di file e accessi anomali.
Node.js e la libreria Brotli: CVE-2026-111497
Il 27 ottobre CISA ha aggiunto anche una falla nel decodificatore Brotli di Google, un formato di compressione usato sul web. La falla è inclusa in Node.js: il rilascio di sicurezza del 21 ottobre 2026 la corregge, con gravità alta, nelle versioni 22.23.4, 24.22.1 e 26.12.1. Il rischio esiste quando un'applicazione decomprime dati Brotli inviati da terzi. Le versioni di Node.js non più supportate (end-of-life) sono vulnerabili e non riceveranno correzioni: vanno sostituite con una linea supportata.
Shop online: Magento e Drupal Commerce
Adobe Commerce e Magento Open Source (CVE-2026-48356): la falla permette di caricare file senza autenticazione ed è valutata 9,6 da Adobe nel bollettino APSB26-73. CISA l'ha inserita nel catalogo il 27 ottobre. La correzione si trova nelle versioni 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul e 2.4.6-2026-jul; per Adobe Commerce anche nelle corrispondenti versioni 2.4.5 e 2.4.4. Il bollettino di Adobe al momento dell'ultima verifica non menzionava attacchi noti; lo sfruttamento è confermato dall'inserimento nel catalogo CISA.
Drupal Commerce Core (CVE-2026-118539): l'avviso del 28 ottobre 2026 classifica la falla come altamente critica. Alcune funzioni non sono protette a sufficienza, con possibili danni economici per il venditore, e il team di Drupal conferma che è sfruttata. La correzione è nelle versioni 3.3.13 e 8.x-2.41. Drupal raccomanda inoltre di controllare gli ordini alla ricerca di incongruenze, per esempio importi, sconti o stati che non corrispondono ai pagamenti ricevuti.
GitLab installato in proprio: CVE-2026-97229
Chi usa GitLab sui propri server (self-managed) deve considerare questa falla con priorità: ha punteggio CVSS 10 e permette di eseguire codice senza autenticazione. GitLab l'ha corretta il 12 ottobre 2026 con le versioni 19.4.2, 19.3.5 e 19.2.8; il 29 ottobre CISA ha confermato che è sfruttata. Chi usa GitLab.com non deve fare nulla.
Firewall, VPN e virtualizzazione
Nello stesso periodo CISA ha inserito nel catalogo anche una falla di VMware ESX (CVE-2026-41709, 28 ottobre), una falla della VPN SSL di Cisco ASA e FTD che può bloccare il servizio (CVE-2026-76418, 29 ottobre) e due falle di Ivanti Connect Secure (CVE-2026-111357 e CVE-2026-118527, 30 ottobre). Se in azienda c'è uno di questi prodotti, chiedete a chi lo gestisce se le correzioni del produttore sono installate.
Cosa verificare questa settimana
- Inventario. Quali server Linux, versioni di Node.js e PHP, shop e strumenti di sviluppo sono raggiungibili da internet, e chi li gestisce.
- Kernel e riavvio. Versione del kernel in esecuzione, non solo di quello installato. Se il riavvio è stato rimandato, va pianificato ora.
- PHP e Node.js. Versioni corrette installate, linee non più supportate sostituite.
- Shop. Magento e Drupal Commerce aggiornati; controllo degli ordini e dei file caricati di recente insieme a chi gestisce lo shop.
- Fornitori. Per hosting gestito, agenzie e servizi cloud, una conferma scritta che le correzioni sono state applicate.
- Tracce. Dopo l'aggiornamento, verifica di utenti, file e processi sconosciuti: l'aggiornamento chiude la falla ma non rimuove un eventuale accesso già ottenuto.
Obblighi in Svizzera
La legge federale sulla protezione dei dati chiede misure tecniche e organizzative adeguate per la sicurezza dei dati (art. 8 nLPD); mantenere aggiornati server e applicazioni ne fa parte. Se un attacco porta a una violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per le persone interessate, il titolare del trattamento deve notificarla il prima possibile all'Incaricato federale della protezione dei dati e della trasparenza (art. 24 nLPD). I gestori di infrastrutture critiche hanno inoltre, dal 1° aprile 2025, l'obbligo di segnalare i ciberattacchi all'UFCS entro 24 ore dalla scoperta. Le altre aziende possono segnalare un incidente all'UFCS su base volontaria.
Domande frequenti
Il mio sito è su un hosting condiviso: devo fare qualcosa?
Kernel e PHP del server sono di solito compito del fornitore, ma l'applicazione (shop, CMS, plugin) spesso no. Chiedete al fornitore se kernel e PHP sono aggiornati e se il server è stato riavviato, e verificate voi o con la vostra agenzia la parte applicativa.
Perché citare un catalogo statunitense?
Il catalogo KEV è una delle fonti pubbliche più chiare per sapere quali falle sono sfruttate davvero. Le stesse falle colpiscono server e shop in Svizzera; per le segnalazioni locali la fonte di riferimento resta l'UFCS.
Ho aggiornato: posso considerare chiusa la questione?
Solo se il sistema non era già stato compromesso. Per le falle sfruttate prima dell'aggiornamento conviene una verifica delle tracce, soprattutto su server esposti con PHP non aggiornato.
Il nostro approccio
ElaraTeq Sagl sviluppa e gestisce siti, shop e applicazioni per PMI ed enti in Ticino, con hosting in Svizzera e aggiornamenti di sicurezza pianificati, riavvii compresi. Per la manutenzione continuativa c'è il servizio presentato nell'articolo su Orbit; vedete anche i nostri articoli su Nextcloud e Collabora e sui plugin WordPress. Per una verifica dei vostri sistemi potete contattarci.
Fonti
- CISA, avvisi del 27 ottobre, 28 ottobre, 29 ottobre e 30 ottobre 2026; Known Exploited Vulnerabilities Catalog
- NIST NVD, CVE-2026-46300
- Ubuntu, Fragnesia Linux vulnerability fixes available; AlmaLinux, CVE-2026-46300, 13 maggio 2026
- Node.js, October 2026 Security Releases, 21 ottobre 2026
- Adobe, Security update available for Adobe Commerce, APSB26-73
- Drupal, SA-CONTRIB-2026-254, Commerce Core, 28 ottobre 2026
- GitLab, Critical Patch Release 19.4.2, 19.3.5, 19.2.8, 12 ottobre 2026
- UFCS, Vulnerabilità critiche in PHP, 21 ottobre 2026; Obbligo di segnalare ciberattacchi contro le infrastrutture critiche
- Fedlex, Legge federale sulla protezione dei dati (LPD), RS 235.1, art. 8 e 24
