Il 20 ottobre 2026 il CSIRT Italia, il servizio dell’Agenzia per la cybersicurezza nazionale che segnala le minacce informatiche, ha pubblicato un alert su Craft CMS, uno strumento molto usato per gestire siti web e negozi online. Gli aggiornamenti di sicurezza del produttore correggono otto vulnerabilità: una con gravità “critica” e sette con gravità “alta”. L’alert indica un impatto sistemico “alto”, con un punteggio di 66,41.
Chi è coinvolto
Secondo l’alert sono interessate due linee del prodotto Craft CMS:
- Craft CMS 5.x, versioni precedenti alla 5.11.0
- Craft CMS 4.x, versioni precedenti alla 4.18.8
Le otto vulnerabilità sono identificate dai codici da CVE-2026-112770 a CVE-2026-112777. Un codice CVE è il numero con cui viene catalogata pubblicamente una singola falla di sicurezza. Per nessuna delle otto la tabella dell’alert riporta, al momento, indicazioni su exploit dimostrativi o su sfruttamenti già in corso.
Che rischio c’è
L’alert classifica le falle in tre tipologie. Ognuna descrive un modo diverso in cui un attaccante potrebbe agire.
- Authentication bypass: l’aggirare i meccanismi di autenticazione, cioè i controlli che verificano l’identità di chi accede al sito.
- Information disclosure: l’accesso a informazioni sensibili che dovrebbero restare riservate.
- Remote code execution: l’esecuzione di codice arbitrario, cioè di comandi scelti dall’attaccante, sui sistemi colpiti.
Sempre secondo l’alert, l’attaccante agirebbe da remoto, cioè via rete, e in alcuni casi senza dover essere autenticato. Questo significa che per sfruttare la falla potrebbe non servire un account sul sito. Per un negozio online il rischio riguarda la riservatezza dei dati gestiti dal sistema e il controllo del sito stesso.
Cosa fare
L’azione di mitigazione indicata dall’alert, in linea con le dichiarazioni del produttore, è aggiornare i prodotti vulnerabili. Le istruzioni si trovano negli otto bollettini di sicurezza pubblicati da Craft CMS sul proprio repository GitHub e richiamati nella sezione Riferimenti dell’alert.
In pratica, chi gestisce un sito con Craft CMS deve controllare quale versione è installata e portarla almeno alla 5.11.0 per la linea 5.x o alla 4.18.8 per la linea 4.x. Chi si affida a un fornitore IT o a un’agenzia web può chiedere conferma che l’aggiornamento sia stato applicato. Vale anche la pena verificare se gli aggiornamenti automatici sono attivi, per ricevere più rapidamente le correzioni future.
Fonte: alert AL01/261020/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 20 ottobre 2026 (impatto sistemico alto). Leggi l’alert originale.
