Am 11. August 2026 hat Adobe mit dem Bulletin APSB26-92 das planmäßige Sicherheitsupdate für Adobe Commerce und Magento Open Source veröffentlicht. Adobe stuft die behobenen Schwachstellen als „critical“ und „important“ ein. Erfolgreiche Angriffe können zu Codeausführung, zur Umgehung von Sicherheitsfunktionen und zur Rechteausweitung führen – also zu allem, was man in einem Shop mit Zahlungs- und Kundendaten nicht haben will.
Wer ist betroffen?
Adobe Commerce on Cloud, Adobe Commerce on-premises und Magento Open Source in folgenden Versionen:
- 2.4.9
- 2.4.8-p5 und früher
- 2.4.7-p10 und früher
- 2.4.6-p15 und früher
- 2.4.5-p17 und früher
- 2.4.4-p18 und früher
Betroffen sind auch die B2B-Erweiterungen. Praktisch heißt das: Wenn dein Shop nicht seit Mitte August aktiv gepatcht wurde, ist er auf der Liste.
Was ist diesmal anders?
Adobe liefert die Fixes ausschließlich als Isolated Patches aus – Composer-Pakete gibt es dazu bewusst nicht. Das macht das Einspielen schneller, aber auch fehleranfälliger, denn drei Punkte sind neu zu beachten:
- Kumulativ: Die August-Patches setzen auf den Juli-Patches auf. Fehlt Juli, schlägt August fehl.
- Patch-Level: Der Fix ist nur gegen das jeweils aktuellste -p-Release deiner Release-Linie getestet.
- Komponenten: CE, EE, B2B und PageBuilder brauchen jeweils eigene Patch-Dateien in der richtigen Reihenfolge.
Für Cloud-Installationen läuft der Weg alternativ über die aktuellen Cloud Patches. Wichtig: Wer den Isolated Patch zusätzlich einspielt, obwohl der Fix per Cloud Patch schon drin ist, produziert Installationsfehler.
Wie prüfst du, ob der Patch wirklich sitzt?
Adobe hat mit diesem Release das Commerce Version Tool eingeführt. Es zeigt, welche Monats-Patches installiert sind, welche fehlen und gegen welche CVEs die Installation geschützt ist. Verfügbar ist es allerdings erst, nachdem der CE-Patch eingespielt wurde. Zusätzlich lässt sich der Patch-Status über die Quality Patches Tool-Ausgabe kontrollieren.
Was solltest du jetzt tun?
- Version und Patch-Level deines Shops feststellen – nicht schätzen.
- Juli-Patch prüfen und gegebenenfalls zuerst nachziehen.
- Auf Staging einspielen, Checkout und Zahlungsanbindung testen, dann live.
- Nach dem Deployment mit dem Commerce Version Tool verifizieren.
- Admin-Zugänge, 2FA und Logs auf ungewöhnliche Aktivitäten durchsehen – Shops sind ein Dauerziel für Skimming-Angriffe.
Wir sind Adobe Certified Professional für Adobe Commerce und übernehmen Patch-Management, Staging-Tests und Monitoring für deinen Shop – egal ob in TYPO3, WordPress, Magento, einer individuellen Laravel-Applikation oder in einem Headless-Setup mit Payload oder Directus. Bei Magento-Shops kümmern wir uns auf Wunsch komplett um den monatlichen Patch-Zyklus.
Nimm jetzt Kontakt auf!
Quellen:
