Adobe hat für Magento Open Source und Adobe Commerce einen außerplanmäßigen Sicherheitspatch veröffentlicht. Betroffen sind laut Adobe-Bulletin mehrere 2.4.x-Versionen, die eine kritische Schwachstelle im Bereich der API-Endpunkte aufweisen. Angreifer könnten die Lücke nach Einschätzung von Sicherheitsforschern ausnutzen, um unbefugt auf Kundendaten zuzugreifen oder Admin-Funktionen zu manipulieren. Der Hinweis stammt vom Hosting-Anbieter MyHost, der seine Commerce-Kunden zur sofortigen Installation auffordert.
Der entscheidende Punkt: Der Fehler sitzt nicht in einem optionalen Modul, sondern in der Kern-API. Das bedeutet, dass Shopbetreiber ihn nicht durch Deaktivieren einer Extension umgehen können. Adobe klassifiziert die Schwachstelle als „critical“. Für Betreiber mit Adobe Commerce Cloud (Magento Cloud) übernimmt Adobe die Installation automatisch, der Rollout läuft gestaffelt über die nächsten Tage. Self-hosted-Shops müssen selbst tätig werden.
Welche Versionen sind betroffen und was ist zu tun?
Nach aktuellem Stand betroffen: Adobe Commerce und Magento Open Source in den Versionen 2.4.7, 2.4.6-p5 bis p8 sowie 2.4.5-p7 bis p9. Ältere Versionslinien wie 2.3.x erhalten keine Patches mehr — hier hilft nur das Upgrade auf eine unterstützte 2.4er-Version. Das Update selbst wird per Composer eingespielt:
- Betroffene Version prüfen:
bin/magento --version - Hotfix oder Sicherheitspatch von Adobe laden und per Composer einspielen
- Cache leeren, Static Content deployen, Reindex laufen lassen
- Im Anschluss Patch-Stand im Admin unter System → Support verifizieren
Wichtig für Produktionsumgebungen: Vor dem Einspielen ein vollständiges Backup von Datenbank und Dateisystem anlegen. Wer mit einem Staging-System arbeitet, spielt den Patch dort zuerst ein, um Extension-Konflikte zu erkennen. Gerade bei Custom-Modulen, die eigene API-Routen registrieren, kann der Hotfix zu Kompatibilitätsproblemen führen.
Warum reicht ein „Wir patchen nächste Woche“ nicht aus?
Magento-Hotfixes werden erfahrungsgemäß binnen Stunden bis Tagen für automatisierte Scans verfügbar. Sobald ein Exploit öffentlich ist, durchsuchen Bots das Netz gezielt nach ungepatchten /rest/V1/-Endpunkten. Ein Shop, der eine Woche wartet, ist damit kein „leichtes“ Ziel mehr, sondern ein bereits identifiziertes. Das erklärt auch, warum Adobe und Hosting-Partner den Zeitrahmen auf maximal zwei bis drei Tage setzen.
„Ein ungepatchter Magento-Shop mit offener Admin-API ist ein Datenleck auf Zeit.“
Für Shopbetreiber, die den Überblick über ihre Patch-Level verlieren, gibt es Extension-Lösungen wie den Sansec Monitor oder das Magento Security Scan Tool von Adobe. Beide erkennen veraltete Versionen und gemeldete Indicators of Compromise, ohne dass ein Eingriff in den Shop-Code nötig ist. Der Nutzen ist überschaubar, wenn man ohnehin regelmäßig patcht — in Agenturen mit zehn oder mehr Mandanten spart das Tool aber manuelle Kontrollrunden.
Die eigentliche Frage stellt sich weniger bei diesem Hotfix, sondern beim Wartungsmodell. Wer Magento 2.3.x noch produktiv betreibt, bekommt für diese Lücke keinen Patch mehr. Die Migration auf 2.4.7 (oder auf Managed Cloud mit automatischen Updates) ist keine Kür-Thema mehr, sondern die Bedingung dafür, überhaupt noch Sicherheitsupdates zu erhalten. Adobe gibt für 2.3.x seit September 2022 keinen Standard-Support mehr — wer hier noch wartet, hat bereits zwei Jahre ohne Hersteller-Patches hinter sich.
Für die laufende Woche heißt das konkret: Patch-Level prüfen, Backups verifizieren, Hotfix einspielen, Log-Zugriffe auf API-Endpunkte für die letzten 30 Tage durchsehen. Letzteres ist der Schritt, den viele auslassen — und der entscheidet, ob man von einem bereits erfolgten Zugriff weiß oder ihn erst in der nächsten Betrugswelle merkt.