WooCommerce invita i negozi ad aggiornare Stripe Gateway alla 11.2.0 dopo alcune correzioni di sicurezza

Cosa ha corretto WooCommerce in Stripe Gateway

L’11 novembre 2026 WooCommerce ha pubblicato un avviso sul blog per sviluppatori di WooCommerce chiedendo a chiunque gestisca, ospiti o segua un negozio che usa l’estensione WooCommerce Stripe Gateway (indicata anche come Stripe for WooCommerce) di aggiornarla alla versione 11.2.0. I negozi che devono restare sul ramo 11.1.x devono passare alla 11.1.2.

Secondo WooCommerce, i problemi sono emersi dalle scansioni interne di Automattic e da segnalazioni ricevute. Il più rilevante poteva consentire acquisti fraudolenti. Non ci sono prove che qualcuno di questi sia stato sfruttato, e l’avviso non descrive le singole vulnerabilità più nel dettaglio.

L’avviso riguarda anche un bug precedente della versione 10.9.0 che, in determinate condizioni, registrava insieme all’ordine, in chiaro, la password scelta dal cliente al momento della registrazione. La versione 10.9.1 ha risolto il problema e, dalla 11.1.0, il plugin rimuove in background le password memorizzate.

Quali negozi devono intervenire

Ogni negozio che riceve pagamenti tramite questa estensione dovrebbe aggiornarla. Gli acquisti fraudolenti sono un costo diretto per il negozio, e WooCommerce ha applicato le correzioni a entrambi i rami perché i commercianti possano mantenere stabili i propri negozi durante il periodo di fine anno. I negozi che non usano questa estensione non sono interessati da questo avviso.

Il bug delle password ha una portata più limitata. Riguardava solo i negozi che usavano la 10.9.0, avevano il checkout classico e mostravano in quel passaggio i pulsanti Express Checkout di Stripe, e i cui clienti avevano creato un account con password e pagato con Apple Pay o Google Pay. Queste password erano visibili ad amministratori e shop manager, oltre che tramite strumenti che espongono i dati degli ordini, come la REST API. WooCommerce non è in grado di stabilire se qualcuno le abbia viste. La pulizia non reimposta la password di nessun cliente; se rimuove dati memorizzati, mostra un avviso nell’amministrazione di WordPress e invia un’email all’amministratore del sito.

Le versioni 11.2.0 e 11.1.2 richiedono entrambe WordPress 6.9 e WooCommerce 11.0, quindi sui siti meno aggiornati potrebbe essere necessario aggiornare prima questi.

Cosa controllare adesso

WooCommerce consiglia di aggiornare subito, senza aspettare la normale finestra di aggiornamento.

• Nell’amministrazione di WordPress apri Plugin, poi Plugin installati, e controlla la versione di Stripe Gateway, anche se gli aggiornamenti automatici sono attivi o se gli aggiornamenti li gestisce il tuo hosting.
• Aggiorna alla 11.2.0 o successiva. Per restare sulla 11.1.x, scarica la 11.1.2 dalla sezione Previous Versions della directory dei plugin di WordPress.org e caricala sopra la versione attuale.
• Se il tuo negozio rientrava nelle condizioni della 10.9.0, cerca le password memorizzate nei backup, nei file di esportazione degli ordini e in ogni servizio che copia i tuoi ordini altrove, e valuta di chiedere ai clienti interessati di reimpostarle.
• Se gestisci più negozi, controllali uno per uno, compresi i siti di staging e di sviluppo accessibili pubblicamente.
• Se l’aggiornamento non va a buon fine, contatta l’assistenza di WooCommerce indicando la versione installata e l’errore visualizzato.

Se del negozio si occupa un hosting o uno sviluppatore, verifica con loro la versione installata e controlla se il tuo contratto di manutenzione copre aggiornamenti di sicurezza come questo. Il servizio di Assistenza e manutenzione continuativa di Cognivise si occupa di mantenere aggiornati i negozi quando nessun altro ha chiaramente questo compito.