MariaDB 10.6 fuori manutenzione: sei CVE critiche non arriveranno più

MariaDB Community Server 10.6 è a fine vita. La fondazione lo ha confermato in un post pubblicato il 31 ottobre 2026 sul proprio sito: dopo la chiusura del ciclo di manutenzione, le correzioni di sicurezza pubblicate il 16 ottobre arrivano su 10.11, 11.4, 11.8 e 12.3, ma non su 10.6. Chi gestisce hosting condiviso e tiene ancora quella serie in produzione resta scoperto, in modo permanente, da ogni futura correzione.

Le date che contano

MariaDB aveva annunciato la chiusura del ciclo di 10.6 con un avviso dedicato: MariaDB Community Server 10.6 avrebbe raggiunto la fine del supporto il 6 luglio 2026, con un'ultima build binaria prevista per fine luglio. La build finale è arrivata poi il 13 agosto come 10.6.28, con dentro le patch del momento. Qualunque correzione successiva non toccherà più quella serie.

Oggi restano mantenute quattro serie LTS Community: 10.11 (fino al 16 febbraio 2028), 11.4 (fino al 29 maggio 2029), 11.8 (fino al 4 giugno 2028) e 12.3 (fino al 29 maggio 2029).

Le falle di ottobre

Il round del 16 ottobre 2026 include sei vulnerabilità. Due hanno punteggio CVSS 9.9: CVE-2026-92262, un bypass dell'encoding dei nomi file tramite prefisso di tabella legacy che apre l'accesso diretto ai file, e CVE-2026-85746, un overflow di scrittura in heap nella funzione ST_AsText() su oggetti GIS annidati. Entrambe risultano corrette su 10.6.28, 10.11.19, 11.4.13, 11.8.9 e 12.3.3 — ma quella è stata l'ultima occasione per 10.6. Un server ancora fermo a build precedenti, come 10.6.21 o 10.6.24, comuni su immagini di hosting costruite anni fa, è già esposto a tutto l'elenco.

Come si fa l'upgrade

Il passaggio da 10.6 a 11.8 o 12.3 è diretto, senza tappe intermedie su 10.11 o 11.4. Non serve dump e reload: i file dati vengono aggiornati sul posto. Sul fronte pratico, un runbook per ambienti cPanel segnala un punto tecnico da non saltare: dalla versione 10.8 il formato del redo log InnoDB è cambiato, quindi il server nuovo legge la directory dati della vecchia versione in modo affidabile solo se quest'ultima si è fermata con un arresto lento (innodb_fast_shutdown = 0), mai con un kill o uno stop "a freddo". cPanel, inoltre, non supporta il downgrade del motore database: l'unico rollback percorribile è il ripristino da un backup già verificato con un test di restore, non la reinstallazione dei pacchetti vecchi sopra una directory dati già aperta dalla versione nuova.

Chi gestisce una flotta di server può verificare la versione in uso con SELECT VERSION() su ogni istanza: sotto 10.11 significa nessuna manutenzione attiva.