Éclair 1.10.4: secondo audit di sicurezza, sei falle corrette
Di Thierry Gustin
Pubblicato il
Aggiornato il
5 min di lettura
Indice
- Cosa cambia con Éclair 1.10.4?
- Perché un secondo audit subito dopo la 1.10.3?
- Cosa ha trovato il secondo audit di sicurezza?
- Perché si parla di passaggio parziale?
- Cosa fare dopo l’aggiornamento alla 1.10.4?
- Come passare a Éclair 1.10.4?
- Dove leggere il rapporto di sicurezza completo?
- Domande frequenti su Éclair 1.10.4
Éclair 1.10.4, rilasciata il 4 novembre 2026, corregge le sei falle trovate da un secondo audit di sicurezza: una alta, ma nello strumento di pubblicazione del manutentore e mai nel tuo sito, una media legata a Google Drive e quattro basse. Nessuna è critica. Il rapporto completo, in inglese, è online: leggi il rapporto di sicurezza (PDF, 18 pagine).
Cosa cambia con Éclair 1.10.4?
| Punto | Cosa ricordare |
|---|---|
| Codice esaminato | Quello della 1.10.3, riletto con un metodo più approfondito (profilo deep) |
| Falle confermate | 6: 1 alta (strumento di pubblicazione), 1 media (Google Drive), 4 basse |
| Piste da convalidare | 6 piste che dipendono dall’hosting, corrette nel codice per precauzione |
| Correzioni | 13, ciascuna con un test che verifica che il difetto non ritorni |
| Verifiche | 964 verifiche automatiche, sul codice e sull’archivio firmato |
| Archivio | 621 KB, aggiornamento firmato (Ed25519) e verificato prima di ogni modifica |
| Cosa devi fare | Aggiornare dopo un backup, poi ricollegare Google Drive se richiesto |
Il tuo sito pubblico non cambia di un byte, e i tuoi contenuti restano dove sono. Il giorno prima, la 1.10.3 aveva corretto le 15 falle del primo audit: leggi l’articolo su Éclair 1.10.3.
Perché un secondo audit subito dopo la 1.10.3?
Una correzione di sicurezza va verificata. Il secondo audit ha quindi ripreso ogni falla e ogni pista del primo, sul codice modificato, con nuovi agenti. Risultato: le correzioni della 1.10.3 hanno retto.
Ha anche cercato più lontano. Il profilo deep del metodo security-audit di Cloudflare aggiunge i momenti della vita di un sito: subito dopo un aggiornamento, dopo il ripristino di un backup, durante un ritorno alla versione precedente o una reinstallazione. Diverse falle nuove nascono proprio da questi momenti.
Come il primo, questo audit si è svolto leggendo il codice sorgente e testandolo in locale, in un ambiente isolato bloccato dal sistema operativo, su dati fittizi, senza accesso alla rete e senza toccare alcun sito online. Ha impiegato 54 agenti; con il primo audit e le correzioni, sono 148 agenti in tutto.
Cosa ha trovato il secondo audit di sicurezza?
Il secondo audit ha esaminato 13 candidati distinti. Sei sono stati confermati:
- Una alta, nello strumento di pubblicazione: il comando con cui il manutentore firma di nuovo una versione poteva firmare un archivio sostituito da qualcuno senza la chiave. Ora firma solo un archivio già firmato per quella versione. Questo difetto non riguarda nessun sito installato.
- Una media, Google Drive: una connessione fatta prima della 1.10.3 non indicava quale amministratore l’avesse creata. Un amministratore eliminato o declassato avrebbe quindi potuto continuare a ricevere i backup. Queste connessioni vengono ora rimosse.
- Quattro basse: ripristinare un backup non riattiva più le sessioni chiuse con Disconnetti tutti; ritirare un contenuto svuota la cache anche se una scrittura successiva fallisce; Torna alla versione precedente conserva un
.htaccessmodificato dopo l’aggiornamento; ricostruire l’indice non ripubblica più un contenuto eliminato, che torna come bozza.
Le sei piste restanti dipendono dall’hosting, dal browser o dalla fatturazione di un servizio esterno. Non si possono osservare offline, quindi sono corrette per precauzione, come un ultimo candidato sui reindirizzamenti riservati che la verifica non ha potuto risolvere. Il rapporto descrive ogni problema e la sua correzione, senza alcun dettaglio di sfruttamento.
Perché si parla di passaggio parziale?
Perché lo è, e il rapporto lo scrive nero su bianco. Questo secondo audit è stato accorciato di proposito per limitarne il costo:
- 6 aree su 71 sono state rinviate e mai esplorate, per esempio gli archivi di backup conservati o le quote del connettore MCP;
- nessuna revisione finale della copertura è stata svolta;
- le correzioni della 1.10.4 sono coperte da test, ma non sono ancora state sottoposte ad audit.
Il rapporto non sostiene quindi che la 1.10.3 o la 1.10.4 siano state coperte per intero. Raccomanda di riprendere l’audit su queste aree, poi di esaminare la 1.10.4. L’essenziale: nessuna falla critica nei due audit, e tutte le falle confermate sono corrette.
Cosa fare dopo l’aggiornamento alla 1.10.4?
Quasi sempre, niente. Un solo caso ti chiede un gesto: se avevi collegato Google Drive prima della 1.10.3, la connessione viene rimossa e la pagina Sicurezza te lo segnala.
- Apri Sicurezza › Backup su Google Drive.
- Clicca su Collega Google Drive, poi inserisci il codice mostrato su google.com/device.
- Controlla la frequenza dei backup, poi clicca su Salva.
I backup già inviati restano nel tuo Drive. Altri cambiamenti da conoscere:
- Le immagini IA rifiutate dal filtro del fornitore (FLUX, Ideogram) contano ora nel tuo budget IA mensile, come ogni immagine fatturata.
- Se
data/site.phpsparisce, l’installazione resta bloccata finché non eliminidata/install-window.phpvia FTP. Reinstallare conserva i tuoi account, le chiavi e i contenuti. - I tuoi file di dati e gli archivi di backup vengono creati privati fin dall’inizio.
Come passare a Éclair 1.10.4?
Dalla 1.10.0 in poi, l’aggiornamento si fa in un clic:
- In Sicurezza › Backup, clicca su Scarica un backup.
- Apri Amministrazione › Aggiornamenti.
- Spunta «Ho un backup recente del mio sito», poi clicca su Aggiorna alla versione….
L’aggiornamento è firmato e verificato prima della minima modifica, con ritorno automatico in caso di problemi. La versione proposta oggi contiene tutte queste correzioni.
Dalla 1.9 o precedenti, passa per l’FTP un’ultima volta: l’archivio ti aspetta nella pagina Scarica, e la guida Aggiornare, fare backup, traslocare descrive ogni passaggio. Tutte le versioni sono nel registro delle modifiche, e le protezioni di Éclair in la sicurezza di Éclair.
Dove leggere il rapporto di sicurezza completo?
Il rapporto copre i due audit e le versioni 1.10.3 e 1.10.4. È in inglese, in formato PDF, di 18 pagine. Ci trovi il metodo, l’ambiente isolato, ogni falla con la sua correzione, le protezioni giudicate solide e i limiti dell’esercizio.
Scarica il rapporto di sicurezza (PDF in inglese, 18 pagine)
Una domanda sul rapporto, o un dubbio sul tuo hosting? Scrivimi dalla pagina dei contatti.
Domande frequenti su Éclair 1.10.4
Il mio sito era esposto alla falla alta?
No. Riguardava lo strumento con cui il manutentore crea e firma le versioni, mai un sito installato. I tuoi aggiornamenti restano firmati e verificati prima della minima modifica.
Devo ricollegare Google Drive?
Solo se la tua connessione risale a prima della 1.10.3. In quel caso, la pagina Sicurezza te lo segnala: clicca su Collega Google Drive e inserisci il codice su google.com/device. I tuoi backup precedenti restano nel tuo Drive.
Il secondo audit ha controllato tutto?
No, e il rapporto lo dice: è un passaggio parziale. Sei aree non sono state esplorate, e le correzioni della 1.10.4 non sono ancora state sottoposte ad audit. Nessuno dei due audit ha trovato falle critiche.
Perché il rapporto è in inglese?
È la lingua del registro ufficiale e del codice di Éclair. Il rapporto descrive ogni problema e la sua correzione, senza dettagli di sfruttamento, e questo articolo ne riassume l’essenziale.
Quanto costa l’aggiornamento alla 1.10.4?
Niente: Éclair resta gratuito, con licenza AGPL-3.0. Unico cambiamento sul budget: le immagini IA rifiutate dal fornitore contano ora nel tuo budget mensile.
Leggi anche
Migrare da WordPress a Éclair CMS senza perdere un indirizzo
Migrare da WordPress a Éclair CMS con Eclair Export: contenuti, immagini, SEO, menu e reindirizzamenti, prima una simulazione, poi un report per il cliente.
Éclair 2.3 ed Eclair Export 1.1: migrare da WordPress diventa facile
Éclair 2.3 ed Eclair Export 1.1 trasferiscono un sito WordPress in un solo invio: una chiave, un clic, senza download né FTP. Schemi e guida passo passo.
Creare un sito dalla A alla Z con l’Agente IA Éclair CMS
La guida completa per creare un sito professionale con l’Agente IA Éclair CMS: ogni tappa, gli attriti eliminati, gli screenshot e il link per scaricarlo.