- E-commerce, Magento
Temi che un aggiornamento possa danneggiare il tuo negozio Magento? Ecco come aggiornare le estensioni Magento in tutta sicurezza
C’è un altro messaggio dal tuo agenzia che ti informa che sono disponibili aggiornamenti di sicurezza per il tuo negozio online Magento. C’è anche il messaggio precedente dello stesso tenore, risalente a sei settimane fa. Nessuno li pianifica perché l’ultima volta il checkout è rimasto fuori servizio per mezza giornata e, a posteriori, nessuno è riuscito a individuare con esattezza la causa.
Questa sensazione è giustificata e raramente ha a che fare con l’aggiornamento in sé. Un aggiornamento di Magento funziona come una fattura. Lo si paga per tutte le scelte fatte negli anni precedenti nel proprio negozio online: dove sono state implementate le personalizzazioni, come sono state integrate le estensioni, se c’è uno spazio per testare qualcosa prima della pubblicazione. Chi ha fatto le scelte giuste, applica una patch in una mattinata. Chi le ha trascurate, si trova di fronte a un vero e proprio progetto.
Di seguito è riportato ciò che determina tale costo e cosa puoi fare al riguardo prima che sia pronto il prossimo aggiornamento.
Perché, in realtà, un aggiornamento di Magento va in errore?
Un aggiornamento di Magento raramente causa problemi a Magento stesso. Il problema risiede in ciò che è stato costruito attorno ad esso. Nella pratica, si riscontrano sempre le stesse tre cause.
La prima è un’estensione che la nuova versione di Magento non supporta ancora. Il fornitore dell’estensione è in ritardo o l’estensione non viene più aggiornata affatto. Quel singolo modulo blocca quindi l’intera installazione.
Il secondo è la personalizzazione scritta nel codice di base (core) anziché in un modulo dedicato. In caso di aggiornamento, il codice di base viene sostituito e tale personalizzazione scompare. A volte con un messaggio di errore, il che è fastidioso. A volte in modo silenzioso, il che è ancora più fastidioso, perché te ne accorgi solo quando chiama un cliente.
Il terzo problema è che due moduli sovrascrivono la stessa porzione di codice. Finché non cambia nulla, funziona perfettamente. Dopo un aggiornamento, però, cambia l’ordine in cui vengono caricati.
Un esempio tratto da un progetto B2B: il negozio online disponeva di una propria logica di gestione delle scorte integrata direttamente nella gestione degli ordini. Ad ogni aggiornamento, tale logica doveva essere ricontrollata e aggiornata. La soluzione è consistita nel tornare allo standard. La logica interna è stata sostituita dal multi-source inventory, la funzionalità di gestione delle scorte fornita da Magento stesso, in modo che d’ora in poi quella parte venga aggiornata automaticamente ad ogni aggiornamento.
Con quale frequenza vengono rilasciati gli aggiornamenti di sicurezza per Magento?
Più spesso rispetto a qualche anno fa, e nel 2026 il ritmo è aumentato. Nel 2025 Adobe ha pubblicato sei bollettini di sicurezza per Magento, con un intervallo medio di circa sette settimane tra uno e l’altro. Nel 2026 sono stati pubblicati il 10 marzo, il 12 maggio, il 14 luglio, l’11 agosto, il 7 settembre e l’8 settembre. La seconda metà di quell’anno ha quindi seguito un ritmo di circa quattro settimane, e a settembre ne sono stati pubblicati due nella stessa settimana.
Questi bollettini forniscono due tipi di aggiornamenti, e questa differenza determina la facilità con cui è possibile applicarli. Le grandi versioni di patch sono cumulative: contengono tutto ciò che è stato corretto in precedenza. Inoltre, vengono rilasciate correzioni singole per una o alcune vulnerabilità, che invece non sono cumulative. Una correzione singola di questo tipo presuppone che si stia già utilizzando l’ultima versione della patch della propria linea di rilascio. Chi ha saltato qualche aggiornamento non può quindi installarla semplicemente, ma deve prima effettuare l’aggiornamento.
Inoltre, il tuo negozio online ha un secondo flusso di aggiornamenti. Ogni estensione segue il proprio ritmo di rilascio e, nel caso di un negozio Magento attivamente mantenuto, ci sono piccoli aggiornamenti quasi settimanali e interventi di manutenzione più consistenti ogni mese. Tutto sommato, gli aggiornamenti devono essere inseriti nella tua pianificazione mensile. Inoltre, più la pila degli aggiornamenti in sospeso cresce, più è difficile, in caso di malfunzionamento, individuare quale aggiornamento lo abbia causato.
Quale versione di Magento Open Source riceve ancora aggiornamenti di sicurezza?
Attualmente, solo le versioni 2.4.7, 2.4.8 e 2.4.9 ricevono ancora aggiornamenti di sicurezza per Magento Open Source. Le date di supporto fornite da Adobe:
- La versione 2.4.9, rilasciata il 12 maggio 2026, sarà supportata fino al 31 maggio 2029
- 2.4.8 è supportato fino al 31 maggio 2028
- 2.4.7 è supportato fino al 31 maggio 2027
- 2.4.6 è stato rimosso dal supporto l’11 agosto 2026
- Le versioni 2.4.5 e precedenti non ricevono più aggiornamenti da tempo
Nel mondo Open Source, una data di scadenza di questo tipo è più definitiva di quanto sembri a prima vista. Il supporto esteso di cui si legge nella documentazione, che fornisce ancora patch dopo la data di scadenza regolare, vale per la versione a pagamento. Per il codice Open Source, tali patch estese non vengono rilasciate. Non esiste quindi un periodo di transizione durante il quale si possa continuare a utilizzare il software tranquillamente per un altro anno.
Come ciò si traduca nella pratica è stato illustrato nel bollettino sulla sicurezza di settembre 2026. In esso, le versioni di Magento Open Source dalla 2.4.6 alla 2.4.9 sono incluse nell’elenco delle versioni interessate, mentre è stata rilasciata una versione Open Source corretta solo per le versioni 2.4.7, 2.4.8 e 2.4.9. Chi in quel momento utilizzava la versione 2.4.6 figurava quindi nell’elenco delle versioni vulnerabili senza che fosse disponibile una patch. Di conseguenza, la domanda su quale versione si stia utilizzando è la prima di tutta questa storia, ancora prima della domanda su quali estensioni si abbiano.
Perché un aggiornamento richiede tre ore in un negozio online e tre settimane in un altro?
La differenza non sta quasi mai nelle dimensioni del negozio online, ma nel modo in cui viene implementata la personalizzazione. Quattro domande determinano in gran parte i tempi di realizzazione.
La personalizzazione si trova in un modulo dedicato o nel core? Il codice in un modulo dedicato sopravvive a un aggiornamento. Il codice nel core deve essere reinserito e testato nuovamente ogni volta.
Le estensioni vengono installate tramite Composer o vengono copiate come cartelle? Tramite Composer si sa esattamente quale versione è in esecuzione e dove, e si possono effettuare aggiornamenti mirati. Le estensioni copiate devono essere confrontate manualmente con la nuova versione.
Quante estensioni sono installate e vengono utilizzate tutte? Ogni estensione è una dipendenza che viene testata ad ogni aggiornamento. Un modulo che nessuno usa più ma che è ancora installato ti fa perdere tempo ad ogni aggiornamento.
Esiste un ambiente di test simile all’ambiente di produzione? Senza un ambiente di questo tipo, le modifiche vengono messe in produzione senza essere state testate, per quanto accuratamente si lavori.
Non è necessario essere uno sviluppatore per comprenderlo. Richiedi un elenco di tutte le estensioni attive con numero di versione e fornitore, la data dell’ultimo aggiornamento del core e una panoramica di ciò che è stato modificato direttamente nel core. Se tale elenco non ti viene fornito entro un giorno, avrai già la tua risposta.
Come si testa un aggiornamento di Magento prima che venga pubblicato?
Con un ambiente di accettazione simile all’ambiente di produzione e con un test che percorre i flussi critici prima che l’aggiornamento venga implementato in produzione. Per «critico» si intende in questo caso: dalla pagina del prodotto al processo di checkout, compresi il pagamento, l’accesso e la ricerca. È proprio questa la parte che, in un controllo manuale, viene tralasciata per prima, poiché è noiosa e richiede molti clic.
Nella nostra pratica, la configurazione di una suite di test automatizzata richiede da una a due settimane. Successivamente, tale suite esegue più volte al giorno l’intero flusso critico e viene generato quotidianamente un rapporto su ciò che è stato testato e sui risultati ottenuti.
Per un piccolo negozio online con poche personalizzazioni e due metodi di pagamento, una suite del genere è eccessiva. Una checklist fissa di dieci passaggi manuali più un ambiente di accettazione copre la maggior parte delle esigenze, e non comporta alcun costo di configurazione. La suite inizia a ripagarsi non appena il numero di flussi, gruppi di clienti e integrazioni cresce, poiché in quel momento il collaudo manuale diventa proprio l’anello più debole.
Cosa fare se, dopo un aggiornamento, qualcosa smette comunque di funzionare?
Il rollback dovrebbe essere un’operazione che richiede pochi minuti. Tre elementi lo rendono possibile: una sola modifica per ogni implementazione, in modo da sapere esattamente di cosa si trattava; un’implementazione che può essere ripristinata senza tempi di inattività; e un backup del database effettuato immediatamente prima dell’aggiornamento.
La prima opzione è la più economica e viene spesso trascurata. Chi mette in produzione contemporaneamente quattro aggiornamenti delle estensioni, una patch di sicurezza e una personalizzazione, in caso di malfunzionamento non sa dove cercare il problema e deve ripristinare tutto, comprese le parti che funzionavano correttamente.
Anche il momento del lancio è importante. Una patch che entra in produzione il martedì mattina ha a disposizione un’intera giornata lavorativa di personale in grado di gestirla. Il venerdì pomeriggio e la settimana che precede il periodo di maggiore affluenza sono i due momenti in cui un piccolo malfunzionamento si trasforma in un problema costoso.
Quando è meglio rimandare un aggiornamento di Magento?
A volte rimandare è la cosa più saggia che si possa fare.
Se il tuo negozio online verrà sostituito entro un anno, un aggiornamento completo della versione sarà denaro sprecato. È sufficiente una patch di sicurezza mirata, a condizione che la tua attuale versione di Magento ne riceva ancora.
Se l’installazione è talmente compromessa che l’aggiornamento costa più della ricostruzione del negozio online, allora si presenta una decisione diversa da prendere. Una valutazione tecnica del codice fornisce una risposta a questa domanda prima di iniziare un progetto, compresa una stima di quali personalizzazioni e quali estensioni costituiscono un ostacolo.
Il rinvio non è più un’opzione non appena si utilizza una versione che non riceve più patch di sicurezza. Il 19 ottobre 2026 ciò varrà per ogni negozio online Magento Open Source in versione 2.4.6 o precedente, poiché per il codice Open Source non esiste un supporto esteso che conceda un anno di tempo in più.
Inizia sapendo cosa c’è dentro
L’aggiornamento diventa più facile man mano che ci sono meno ostacoli. Il primo passo è sapere cosa c’è nella propria installazione: quali estensioni, quanta personalizzazione, dove si trova tale personalizzazione e su quale versione di Magento si sta lavorando. Con questa panoramica, un aggiornamento diventa un’operazione pianificata di cui è possibile stimare in anticipo la durata.
Se vuoi fare il punto della situazione prima di applicare la prossima patch, una revisione del codice è la via più breve per ottenere una risposta chiara.
Con quale frequenza è necessario aggiornare Magento?
Le patch di sicurezza vanno installate non appena sono disponibili, e ciò avviene più spesso di quanto molti proprietari di negozi online pensino. Nel 2025 Adobe ha pubblicato sei bollettini di sicurezza per Magento e nel 2026, fino a settembre, altri sei, con una frequenza che nella seconda metà del 2026 è scesa a circa quattro settimane. Inoltre, in un negozio Magento sottoposto a manutenzione attiva, vengono effettuati quasi settimanalmente piccoli aggiornamenti delle estensioni e mensilmente interventi di manutenzione più consistenti.
Quali versioni di Magento Open Source riceveranno ancora aggiornamenti di sicurezza nell’ottobre 2026?
Solo 2.4.7, 2.4.8 e 2.4.9. La versione 2.4.9 è stata pubblicata il 12 maggio 2026 e sarà supportata fino al 31 maggio 2029, la 2.4.8 fino al 31 maggio 2028 e la 2.4.7 fino al 31 maggio 2027. Per la versione 2.4.6 il supporto è terminato l’11 agosto 2026, mentre la versione 2.4.5 e quelle precedenti non ricevono più alcun supporto già da tempo.
Cosa succede se la tua versione di Magento non riceve più aggiornamenti di sicurezza?
In tal caso, le vulnerabilità note nella tua installazione rimarranno aperte, poiché per quella linea di rilascio non verrà più rilasciata alcuna versione corretta. Nel bollettino sulla sicurezza di settembre 2026, Magento Open Source 2.4.6 figurava nell’elenco delle versioni interessate, mentre è stata rilasciata una correzione solo per le versioni dalla 2.4.7 alla 2.4.9 incluse. L’aggiornamento a una versione supportata è quindi l’unica vera soluzione; un firewall o il patching virtuale presso il proprio hoster consentono al massimo di guadagnare tempo.
È possibile aggiornare Magento senza tempi di inattività?
Spesso sì, con implementazioni a tempo zero, anche se ciò non vale per ogni aggiornamento. Gli aggiornamenti che eseguono una migrazione del database o richiedono una reindicizzazione completa necessitano di un breve periodo di manutenzione. Pianificalo al di fuori delle ore di punta e informa il tuo servizio clienti di quando avverrà.
Perché le estensioni smettono di funzionare dopo un aggiornamento di Magento?
Poiché un’estensione è sviluppata per una versione specifica di Magento, se il core viene modificato, il punto di aggancio utilizzato dall’estensione potrebbe scomparire o cambiare. Inoltre, due estensioni che sovrascrivono lo stesso comportamento causano problemi non appena cambia l’ordine di caricamento.
Quanto tempo richiede un aggiornamento di Magento?
Questo dipende dalla tua installazione e non dalle dimensioni del tuo negozio online. Sono determinanti il numero di estensioni attive, la quantità di personalizzazioni e il fatto che tali personalizzazioni si trovino in moduli propri o nel core. Una stima attendibile è possibile solo dopo un inventario delle estensioni e delle personalizzazioni; chi indica in anticipo un tempo di realizzazione senza tale inventario, sta tirando a indovinare.
È necessario aggiornare ogni estensione di Magento?
No. Un aggiornamento di un’estensione che aggiunge solo funzionalità che non utilizzi può aspettare. Gli aggiornamenti di sicurezza e quelli necessari per la compatibilità con la tua versione di Magento, invece, non possono aspettare. È meglio rimuovere le estensioni inutilizzate piuttosto che aggiornarle, poiché ogni modulo installato continua a essere conteggiato nei successivi aggiornamenti.
Che cos’è un ambiente di accettazione e ne ho bisogno?
Un ambiente di accettazione è una copia del tuo negozio online in cui puoi testare le modifiche prima che vengano pubblicate nell’ambiente live. Ne hai bisogno non appena più di una persona lavora al negozio o non appena sono presenti integrazioni con altri sistemi. Senza un ambiente di accettazione, le modifiche vengono pubblicate live senza essere state testate.
Quanto costa una revisione del codice di un negozio online Magento?
Una revisione del codice costa da noi 2.500 euro, a seconda delle dimensioni dell’installazione, del numero di estensioni e della quantità di personalizzazioni. Il risultato è un rapporto documentato che illustra lo stato del codice, il livello di sicurezza e la compatibilità con gli standard Magento.
Come capire se la personalizzazione ostacola un aggiornamento?
Richiedi due elenchi. Il primo è un elenco di tutte le modifiche apportate al di fuori dei propri moduli, quindi direttamente nel core o in un tema copiato. Il secondo è un elenco delle estensioni non installate tramite Composer. Questi due elenchi insieme indicano la maggior parte del tempo necessario per il tuo prossimo aggiornamento.
Articoli correlati
Gli agenti AI non ti consigliano i prodotti? Ecco come rendere visibile il tuo negozio online Magento
Cosa comporta realmente la realizzazione di un configuratore di prodotto all’interno di un’organizzazione
Tre preventivi, tre importi molto diversi: quanto costa un negozio online Magento B2B
Hai chiuso con la tua attuale agenzia: ecco come avviene il trasferimento della gestione del tuo Magento
Quale sistema ha ragione: la questione alla base dell’integrazione tra AFAS e Magento
La licenza è gratuita, il passaggio no: cosa significa Hyvä per il tuo negozio online Magento
Un prezzo diverso per ogni cliente: cosa comporta per il tuo negozio online Magento B2B
Ricreati in poche ore: cresce il numero di copie di negozi online generate dall’IA
Digital Product Passport (DPP): cosa significa per i tuoi dati di prodotto e il tuo PIM?
A un anno dall’EAA: nessun grande negozio online è completamente accessibile
