Il 19 ottobre 2026 il CSIRT Italia, il gruppo dell’Agenzia per la cybersicurezza nazionale che segnala le minacce informatiche, ha pubblicato un alert su tre vulnerabilità di Drupal, un Content Management System (CMS) open source, cioè un programma che permette di costruire e gestire siti web. Una delle tre ha gravità «critica». Secondo l’alert potrebbe consentire a un utente malintenzionato remoto, che non ha bisogno di autenticarsi, di eseguire codice arbitrario sui sistemi interessati. L’alert è identificato dal codice AL01/261019/CSIRT-ITA e indica un impatto sistemico «alto», con punteggio 66.41.
Chi è coinvolto
Secondo l’alert sono interessate queste versioni di Drupal:
- 12.x, versioni precedenti alla 12.0.0-beta2;
- 11.4.x, versioni precedenti alla 11.4.10;
- 11.3.x, versioni precedenti alla 11.3.19;
- versioni dalla 8.9.0 alla 10.6.19 (esclusa).
Il CSIRT Italia precisa che per tutte le versioni di Drupal 8, Drupal 9 e per le versioni di Drupal 10 precedenti alla 10.6.19 il fornitore non rilascerà né workaround (una soluzione temporanea) né patch (una correzione del software), perché il supporto è terminato. Si parla in inglese di «end of life», o EoL.
Che rischio c’è
La vulnerabilità critica è catalogata come CVE-2026-108097. Il codice CVE è un identificativo pubblico che permette di indicare in modo univoco una falla di sicurezza. Il tipo di problema è la «Remote Code Execution», cioè l’esecuzione di codice da remoto.
In concreto significa che una persona esterna, senza password né account, potrebbe far eseguire al server del sito comandi scelti da lei. Un server compromesso in questo modo può essere usato per accedere ai contenuti del sito o per alterarne il funzionamento. L’alert non descrive però scenari specifici e non riporta, nella tabella dedicata, la disponibilità di un codice dimostrativo (POC) né sfruttamenti in corso.
Cosa fare
In linea con le dichiarazioni del fornitore, il CSIRT Italia raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza pubblicato sul sito di Drupal, identificato come sa-core-2026-014.
Per chi usa versioni senza più supporto, l’alert indica che non sono previste correzioni. In questi casi l’unica strada indicata dal fornitore è passare a una versione supportata.
Due verifiche di buon senso possono aiutare:
- controllare quale versione di Drupal è in uso sul proprio sito e se sono attivi gli aggiornamenti automatici;
- avvisare il fornitore IT o l’agenzia che gestisce il sito, se la manutenzione è affidata a terzi.
Fonte: alert AL01/261019/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 19 ottobre 2026 (impatto sistemico alto). Leggi l’alert originale.
