Ein kritischer Hotfix für Magento Open Source und Adobe Commerce ist verfügbar, und die Dringlichkeit ist real: Nach Angaben von Adobe handelt es sich um eine Schwachstelle, die ohne Authentifizierung ausnutzbar sein kann. Wer einen Shop auf Magento 2.x oder Adobe Commerce Cloud betreibt und das Patch nicht zeitnah einspielt, riskiert Code-Execution auf dem Server. Es geht nicht um eine theoretische Lücke in irgendeinem Randmodul, sondern um einen Fehler, der in mehreren Adobe-Bulletins der vergangenen Monate wiederholt auftauchte.
Warum ist der Hotfix für Shopbetreiber so dringend?
Adobe veröffentlicht Sicherheitsupdates für Commerce inzwischen in einem engeren Takt als früher. Der aktuelle Hotfix betrifft nach Herstellerangaben mehrere Versionen – konkret sind Releases vor 2.4.7-p3 sowie ältere Zweige wie 2.4.6-p8 und 2.4.5-p10 zu prüfen. Wer nicht patcht, läuft Gefahr, dass Angreifer über die Lücke an sensible Bereiche wie Admin-Panels, Kundenkonten oder Zahlungsdaten gelangen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat vergleichbare Magento-Lücken in der Vergangenheit mehrfach als „hoch“ bis „kritisch“ eingestuft.
Der Handlungsimpuls ist eindeutig: Patch einspielen, kein Kompromiss. Wer den Hotfix nicht selbst einspielen kann, sollte sich an den Hosting-Anbieter oder eine Magento-Agentur wenden. Einige Hoster – darunter auch Anbieter hierzulande – haben angekündigt, den Patch automatisiert auszurollen. Das entbindet Shopbetreiber aber nicht von der Pflicht, die eigene Installation zu prüfen, insbesondere, wenn Extensions oder Themes den Core-Code angepasst haben.
Was ist bei Magento-Patches seit 2023 anders?
Adobe hat mit den Sicherheits-Bulletins von 2023 und 2024 die Frequenz deutlich erhöht – teils im Wochenrhythmus. Das Problem: Viele Händler setzen noch auf ältere Versionen, weil ein Upgrade auf 2.4.7 oder Adobe Commerce Cloud mit Extensions-Kompatibilität und Theme-Anpassungen verbunden ist. Genau dieses Zögern macht die Lücke gefährlich. Eine aktuelle Erhebung von Sansec aus dem Jahr 2024 zeigte, dass rund ein Drittel aller Magento-Shops mit veralteter Core-Version im Netz stand – ein Einfallstor für automatisierte Angriffe.
Wie prüfen Händler, ob der Shop betroffen ist?
Der einfachste Weg: ein Blick in das Adobe-Security-Bulletin und die eigene Versionsnummer unter System > Web Setup Wizard > System Configuration oder via CLI mit php bin/magento --version. Wer den Hotfix einspielt, sollte anschließend den Cache leeren und die Extension-Kompatibilität prüfen. Bei Shops mit Custom-Modulen empfiehlt sich vor dem Update ein Staging-Durchlauf. Für Händler, die regelmäßig patchen müssen, lohnt sich ein Blick auf Tools wie Magento Security Scan von Sansec oder die Patch-Management-Funktionen in Commerce Cloud. Sie ersetzen keinen Hotfix, geben aber frühzeitig Warnsignale.
Wer den Patch aufschiebt, weil gerade Sessions oder A/B-Tests laufen, sollte die Priorität neu ordnen. Eine offene RCE-Lücke ist kein Conversion-Thema, sondern ein Betriebsrisiko. Die Erfahrung der letzten Jahre zeigt: Angreifer scannen Magento-Instanzen automatisiert, oft innerhalb von Stunden nach Bekanntwerden einer Lücke. Der Hotfix ist die günstigste Versicherung, die ein Shopbetreiber abschließen kann.