9,1 von 10 möglichen Punkten. So hoch stuft Adobe die Schwachstelle CVE-2026-71362 im August-Bulletin APSB26-92 ein: ausnutzbar ohne Login, ohne Interaktion, ohne dass der Shopbetreiber irgendetwas mitbekommt. Wer die Magento 2 Release Notes dieses Jahr nur überflogen hat, hat die eigentliche Nachricht verpasst. Aus dem Versionsprotokoll eines Shopsystems ist ein Lagebericht über Dauerbeschuss geworden.
Und dieser Beschuss hat Methode. Die Release Notes von Adobe Commerce und Magento Open Source sind 2026 kein Marketing-Dokument mehr, sondern Pflichtlektüre fürs Risikomanagement. Wer sie nicht liest, fährt blind.
Was steht wirklich in den Magento 2 Release Notes 2026?
Version 2.4.9, im Mai 2026 parallel für Adobe Commerce und Magento Open Source erschienen, markiert den aktuellen Stand der Codebasis. Im Kleingedruckten findet sich eine auf den ersten Blick unspektakuläre, aber langfristig teure Baustelle: Adobe migriert den WYSIWYG-Editor weg von TinyMCE 6, dessen Lizenzwechsel und bekannte Sicherheitslücken dem Unternehmen zunehmend Probleme bereiteten. Für Agenturen bedeutet das Anpassungsaufwand bei jedem Projekt, das den Editor erweitert hat.
Daneben die übliche Pflicht: Qualitätskorrekturen an GraphQL, am Checkout, an den B2B-Modulen. Brauchbar, selten spektakulär. Der eigentliche Inhalt der Release-Saison 2026 steht aber nicht im Feature-Teil, sondern in den Sicherheitsbulletins. Allein APSB26-92 vom August schließt eine ganze Reihe kritischer Lücken, darunter Stored-XSS-Schwachstellen mit Code-Ausführung und mehrere Authorization-Fehler, die Angreifern Rechteverschaffung ohne Anmeldedaten erlauben.
Seit Januar 2026 liefert Adobe diese Fixes monatlich, als isolierte Patches für alle Linien von 2.4.4 bis 2.4.9. Das ist die wichtigste strukturelle Änderung, die aus den diesjährigen Release Notes herauszulesen ist.
Warum zwingt Adobe seine Händler in den Monatstakt?
Offiziell heißt es: mehr Planbarkeit, geringere Updatekosten, weil sich die isolierten Patches ohne vollständiges Minor-Upgrade einspielen lassen. Inoffiziell ist der Monatsrhythmus ein Eingeständnis. Ein vierteljährlicher Patch-Zyklus ließ Angreifern schlicht zu viel Zeit. Magecart-Gruppen und automatisierte Scanner brauchen nach der Veröffentlichung einer Lücke keine Wochen mehr, sondern Stunden, bis sie ungepatchte Shops ansteuern.
Ein monatlicher Sicherheitspatch ist kein Serviceplus. Er ist die Buchhaltung eines Problems, das sich nicht mehr wegdiskutieren lässt: Die Angriffsfläche von Magento ist strukturell, nicht zufällig.
Für den deutschsprachigen Markt hat das eine unangenehme Konsequenz. Wartungsverträge mit quartalsweisen Updatefenstern, immer noch gängig bei mittelständischen Händlern und ihren Agenturen, sind faktisch wertlos. Wer drei Monate wartet, fährt im Schnitt zwei Monate mit dokumentierten, öffentlich bekannten Lücken. Jeder Angreifer kann die Release Notes nämlich auch lesen. Er tut es sogar zuverlässiger als die meisten Shopbetreiber.
Meine Einschätzung: Der Monatstakt wird nicht der Endpunkt sein. Bei kritischen, aktiv ausgenutzten Lücken wird Adobe langfristig auf Hotfixes außerhalb des Rhythmus nicht verzichten können, und Händler sollten ihre Prozesse genau darauf auslegen.
StyleSmuggler: Der Zero-Day, der jede Patch-Strategie entlarvt
Am 5. September 2026 legte die niederländische Sicherheitsfirma Sansec eine Schwachstelle offen, die es in sich hat: unauthentifizierte Remote-Code-Execution auf Magento- und Adobe-Commerce-Installationen, volle Kontrolle über den Shop, und zum Zeitpunkt der Veröffentlichung kein offizieller Patch. Sansec zufolge liefen die Angriffe bereits am Vortag. Der Name der Lücke: StyleSmuggler.
Der Fall ist lehrreich, weil er die Grenzen des Patch-Paradigmas zeigt. Selbst ein Händler, der jeden monatlichen Fix binnen 24 Stunden einspielt, war gegen StyleSmuggler schutzlos. Das Fenster zwischen Entdeckung durch die Angreifer und verfügbarem Patch lässt sich durch noch so disziplinierte Wartung nicht schließen.
Für DACH-Händler kommt ein regulatorisches Gewicht hinzu. Unter NIS2 und der DSGVO ist ein kompromittierter Shop mit Kundendaten nicht nur ein Umsatzproblem, sondern ein Meldefall. Wer dann nicht dokumentieren kann, welche Patches wann eingespielt wurden, hat ein zweites Problem.
Open Source, Mage-OS oder Cloud Service: Welcher Pfad passt für DACH-Händler?
Entgegen hartnäckiger Gerüchte ist Magento Open Source nicht tot. Version 2.4.9 erschien auch als Open-Source-Release, und die Sicherheitsbulletins von Juli und August 2026 decken die Codebasis weiter ab, inklusive verlängerter Patches für die Linien 2.4.4 und 2.4.5. Zugleich ist das Projekt innerhalb Adobes sichtbar abgestuft: Die Entwicklungsenergie fließt in Adobe Commerce und vor allem in Adobe Commerce as a Cloud Service, das SaaS-Angebot, mit dem Adobe Händler von eigener Infrastruktur wegholen will.
In diese Lücke stößt Mage-OS, der Community-Fork, der gerade in der deutschsprachigen Agenturszene an Zulauf gewinnt. Das Argument ist simpel: Wer ohnehin Agentur-Support bezahlt und keine Adobe-B2B-Features braucht, bekommt mit Mage-OS eine Codebasis, deren Weiterentwicklung nicht von Adobes Produktstrategie abhängt. Das Gegenargument ebenso: Die Sicherheitspatches kommen bei Adobe zuerst, und bei einer kommerziellen Lücke wie StyleSmuggler ist das kein akademischer Unterschied.
Die ehrliche Antwort lautet: Es gibt keinen risikofreien Pfad. Adobe Commerce kostet Lizenz und Bindung, Open Source kostet Wartungsdisziplin, Mage-OS kostet Vertrauen in eine junge Distribution. Sicher ist nur, dass die Entscheidung für irgendeinen Pfad die Entscheidung für permanenten Pflegeaufwand einschließt.
Wie sollten Händler die Release Notes künftig lesen?
Die Antwort, in komprimierter Form:
- Sicherheitsbulletins zuerst, Feature-Notes danach. APSB-Nummern gehören in den Wartungskalender, nicht in den Spam-Ordner.
- Isolierte Patches binnen 72 Stunden auf Staging, dann produktiv. Ein Monatstakt verträgt keine Quartalslogik.
- Module mitpatchen: B2B, Page Builder und Integrationen haben eigene Versionslinien und eigene Lücken.
- Den Wartungsvertrag mit der Agentur gegen die Realität prüfen. Steht da „quartalsweise Updates“, steht da faktisch „dauerhaft verwundbar“.
Wer das für übertrieben hält, sollte sich eine Zahl merken: weniger als 24 Stunden. So lange dauerte es bei StyleSmuggler vom Beginn der Angriffe bis zur öffentlichen Warnung, und der Patch existierte da noch nicht. Der September-Fix wird kommen, der Oktober-Fix auch. Die Frage ist nicht, ob der eigene Shop angegriffen wird, sondern ob er zu dem Zeitpunkt die Lücken von vorgestern oder die von vorigem Quartal offen hat. Wer seine Release Notes weiter der Agentur zum Fraß vorwirft und hofft, schon irgendwie durchzukommen, betreibt keinen Onlineshop. Er betreibt ein Honeypot mit Warenkorb.