Applichi le patch ora, si ringrazierà più tardi: Il riepilogo e-commerce della settimana (15–23 ottobre 2026)

Benvenuto al nostro riepilogo settimanale delle notizie e-commerce. Questa settimana, dal 15 al 23 ottobre 2026, è stata insolitamente intensa: due vulnerabilità critiche sono arrivate a ventiquattr'ore di distanza l'una dall'altra, una per PHP e una per Node.js. Nel frattempo, Google ha attivato il suo Universal Cart negli Stati Uniti, il Parlamento europeo ha votato per alleggerire gli adempimenti sui rifiuti per le piccole imprese, e nuovi dati confermano che l'e-commerce europeo continua a crescere. Ecco cosa è cambiato e cosa significa per il suo negozio.

PHP2Shell: la vulnerabilità che ha messo sotto pressione (quasi) tutti i negozi PHP

Il 21 ottobre il progetto PHP ha corretto due vulnerabilità critiche (CVE-2026-109618 e CVE-2026-109619, ribattezzate in fretta PHP2Shell) che consentono a un attaccante, senza alcuna credenziale, di eseguire codice sul suo server. Entrambe hanno un punteggio di gravità di 9,2 su 10, e il codice difettoso è presente in PHP dal 2012 (versione 5.4).

Poiché la falla risiede in PHP stesso, e non nel codice del suo negozio, anche un sito perfettamente mantenuto è esposto. I ricercatori hanno dimostrato attacchi contro Magento, WooCommerce (WordPress), Drupal, Joomla, Laravel o Symfony; piattaforme come PrestaShop, Sylius o OpenCart sono nella stessa situazione. Una delle due falle può anche far trapelare la memoria del server (pensi a password, token di sessione o chiavi API) tramite un semplice cookie.

La buona notizia: uno sfruttamento di massa sembra meno probabile di quanto si temesse, perché gli attacchi richiedono condizioni server molto specifiche. La cattiva: sono stati osservati tentativi poche ore prima della pubblicazione stessa della patch, e il CISA invita ad applicare le patch immediatamente.

Cosa deve fare: aggiorni PHP ovunque (le versioni corrette sono 8.2.35, 8.3.36, 8.4.27 e 8.5.12) e riavvii i worker PHP, perché senza questo passaggio l'aggiornamento non ha effetto. Se il suo negozio gira ancora su PHP 8.1 o precedente, non esiste una patch ufficiale; pacchetti corretti sono disponibili tramite la maggior parte delle distribuzioni Linux, ma lo consideri l'ultimo avvertimento per pianificare un aggiornamento di versione. Esiste un workaround temporaneo: bloccare le richieste di upload (multipart/form-data) a livello di web server, con una regola nginx di quattro righe. Ma interrompe gli upload legittimi come le immagini prodotto e alcuni moduli di checkout: è una cintura di sicurezza, non una cura.

Node2Shell: anche Node.js ha avuto la sua paura, nella stessa settimana

Stesso giorno, stessa storia, motore diverso. Node.js ha corretto CVE-2026-111497, una falla in Brotli, la libreria di compressione integrata in Node, e i ricercatori di Imperva hanno poi dimostrato di poterla trasformare in esecuzione remota di codice su un'immagine Node.js ufficiale. La chiamano Node2Shell.

Se il suo stack si basa su Node.js (è il caso dei backend Medusa o Vendure e della maggior parte degli storefront JavaScript moderni), controlli la versione: le release corrette sono 22.23.4, 24.22.1 e 26.12.1. Due sfumature importanti: Node.js 20 e le versioni precedenti non riceveranno mai la patch (sono end-of-life, pianifichi una migrazione), e il codice vulnerabile viene spesso raggiunto tramite middleware che non ha scritto lei: i body parser di Express 5 decodificano Brotli automaticamente. Ricordi anche di ricostruire le immagini Docker: modificare un numero di versione in un file di configurazione non corregge un binario già incorporato in un container.

Finora non sono stati segnalati attacchi reali, e Imperva ha avuto bisogno di diversi tentativi su una configurazione specifica, ma non esiste alcun workaround all'interno di Node.js stesso. L'aggiornamento è l'unica soluzione.

Google lancia il suo Universal Cart: prima negli USA, l'Europa più tardi

Il 15 ottobre Google ha attivato il suo Universal Cart negli Stati Uniti, nella Ricerca e nell'app Gemini. Gli acquirenti possono salvare prodotti di più rivenditori in un unico carrello persistente, ricevere avvisi quando i prezzi scendono o un articolo torna disponibile, vedere codici promo e suggerimenti sui metodi di pagamento, e pagare con Google Pay, con merchant come Nike, Sephora, Target, Walmart e molti negozi Shopify già a bordo. Aspetto cruciale: il merchant resta il seller of record: ordine, conferma e relazione con il cliente restano suoi.

Sotto il cofano c'è l'Universal Commerce Protocol (UCP), uno standard aperto presentato da Google a gennaio con Shopify, Walmart, Target e altri, pensato affinché qualsiasi agente AI, non solo quelli di Google, possa scoprire prodotti e completare acquisti attraverso un linguaggio comune.

Potrebbe sentir parlare anche di WebMCP, ed è facile confonderlo con l'UCP. In breve: WebMCP permette a un agente AI di operare sul suo sito web per conto dell'utente (navigando tra le pagine nel suo browser), mentre l'UCP permette agli agenti di dialogare di commercio direttamente con il suo back-office (catalogo, carrello, checkout). Sono complementari, non concorrenti; Shopify, per esempio, li supporta entrambi.

Cosa significa per lei: oggi in Europa non c'è nulla da implementare: la funzione di checkout è limitata ai merchant statunitensi idonei, con un'espansione globale promessa "nei prossimi mesi". Ma la direzione è chiara: la qualità dei suoi dati prodotto in Google Merchant Center determinerà presto se gli agenti AI potranno vendere i suoi prodotti. Feed puliti e attributi completi: sono compiti da iniziare subito.

Bruxelles vuole semplificare le norme sui rifiuti per le piccole imprese

Un breve promemoria: con la responsabilità estesa del produttore (EPR), chi vende prodotti nell'UE paga contributi per finanziare il riciclo, e deve nominare un rappresentante autorizzato in ogni singolo Stato membro in cui vende. Per un piccolo marchio francese che spedisce in dieci paesi, significa dieci rappresentanti da pagare.

Il 20 ottobre il Parlamento europeo ha sostenuto a larga maggioranza (616 voti a favore, 9 contrari) la sospensione di questo obbligo di rappresentanza per le micro e piccole imprese con sede nell'UE (meno di 50 dipendenti, meno di 10 milioni di euro di fatturato) in settori che includono imballaggi, batterie, tessile, calzature ed elettronica. La sospensione varrebbe fino al 2035. I contributi EPR e gli obblighi di riciclo non cambiano; si tratta unicamente di ridurre un carico amministrativo ridondante.

Un'avvertenza: questa è la posizione del Parlamento, non ancora la legge definitiva; i negoziati con gli Stati membri devono ancora concludersi. Ma per i piccoli venditori transfrontalieri è un segnale davvero incoraggiante da Bruxelles.

E-commerce europeo: 911 miliardi di euro, e il transfrontaliero traina la crescita

Per concludere, un po' di prospettiva. Il Rapporto europeo sull'e-commerce 2026 (Ecommerce Europe / EuroCommerce) valuta l'e-commerce B2C europeo a 911 miliardi di euro nel 2025, in crescita del 7% su base annua, con una previsione di circa +5% per il 2026 (~961 miliardi di euro). Tre quarti degli europei ormai acquistano online.

Dov'è la spinta? Nel cross-border. Le 100 maggiori marketplace in Europa dovrebbero generare 175,8 miliardi di euro di GMV, il 79,5% da vendite transfrontaliere. All'interno dell'UE, i cinque mercati più grandi sono Francia (~112 mld €), Germania (~94 mld €), Spagna (~68 mld €), Italia (~59 mld €) e Polonia (~43 mld €), con l'Europa meridionale e orientale che crescono più in fretta.

La lezione per i commercianti: i suoi prossimi clienti vivono sempre più spesso in un altro paese dell'UE. Vendere oltre confine sta diventando strutturalmente più semplice (vedi il punto EPR qui sopra): chi prepara per tempo la propria organizzazione internazionale cavalcherà questa crescita invece di guardarla passare.

Domande frequenti

Cosa seguiremo la prossima settimana

• Stato delle patch: se i tentativi di sfruttare PHP2Shell aumenteranno nonostante le condizioni difficili; resti vigile anche dopo l'aggiornamento.
• Migrazioni da Node.js 20: hosting provider e piattaforme forzeranno sempre più la decisione; meglio scegliere il momento giusto.
• Google UCP: qualsiasi segnale di un rollout europeo dell'Universal Cart o del checkout basato su UCP.
• Semplificazione EPR: il dossier passa ora ai negoziati tra Parlamento e Stati membri; il perimetro finale può ancora cambiare.

Alla prossima settimana. E se applicare patch a PHP e Node.js su tutto il suo stack le sembra un'impresa, è esattamente per settimane come questa che esistiamo.