Magento-Sicherheitsupdate APSB26-153: So spielen Sie den Patch vom Oktober 2026 ein

Wer betroffen ist

Jeder Shop auf Adobe Commerce 2.4.4 bis 2.4.9, Adobe Commerce B2B 1.3.3 bis 1.5.3 und Magento Open Source 2.4.6 bis 2.4.9, der die Oktober-Fixes noch nicht installiert hat. In Adobes Versionsbezeichnung sind das die Releases „2026-sep and earlier“.

Adobe stuft das Update mit Priorität 2 ein und kennt nach eigenen Angaben noch keine Angriffe über diese Lücken. Trotzdem ist eine Lücke mit CVSS 10,0, die ohne Login funktioniert, genau die Art Fehler, die kurz nach Veröffentlichung der Details ausgenutzt wird. Wir empfehlen deshalb, diese Woche zu patchen, nicht erst irgendwann diesen Monat.

Die 11 Sicherheitslücken im Überblick

Warum composer update diesmal nicht reicht

Adobe hat die Oktober-Fixes als isolierte Sicherheitsfixes eingestuft. Für diese Art von Release veröffentlicht Adobe nur Patch-Dateien, eine ZIP pro Versionslinie, und keine neuen Composer-Pakete. Der Gedanke dahinter ist Tempo: Sie spielen einen kleinen Patch ein, statt ein komplettes Upgrade mit geänderten Abhängigkeiten durchzuführen.

Es gibt zwei Voraussetzungen. Ihr Shop muss bereits das neueste Sicherheitsrelease seiner Versionslinie nutzen, zum Beispiel 2.4.7-p10 oder 2.4.8-p5. Und alle früheren monatlichen isolierten Patches dieser Linie müssen schon installiert sein, denn jeder Monat baut auf dem vorherigen auf.

Welche Datei Sie brauchen

Shops mit Magento Open Source können Patches für 2.4.7 und neuer herunterladen. Open Source 2.4.6 bekommt keinen Oktober-Patch, diese Shops müssen also auf 2.4.7 oder neuer upgraden. Shops mit Adobe Commerce 2.4.6 oder älter melden sich mit ihren Composer-Keys an, um die Datei herunterzuladen.

So spielen Sie den Patch ein, Schritt für Schritt

1. Erstellen Sie ein vollständiges Backup von Code und Datenbank und spielen Sie den Patch zuerst auf einer Staging-Kopie ein, nie direkt im Live-Shop.
2. Prüfen Sie Ihre genaue Version und die installierten Komponenten: CE, EE, B2B, PageBuilder und so weiter.
3. Entpacken Sie die Oktober-Datei. Sie kann mehrere Patch-Dateien enthalten, eine pro Komponente und Version. Verwenden Sie nur die Dateien, die zu den Komponenten und Versionen passen, die Sie tatsächlich einsetzen.
4. Spielen Sie sie in dieser Reihenfolge ein: zuerst Community Edition (CE), dann Enterprise Edition (EE), dann B2B und die übrigen Komponenten. Fehlt Ihnen ein früherer Monat, spielen Sie diesen zuerst ein, in derselben Reihenfolge.
5. Bei Adobe Commerce on-premises und Magento Open Source laden Sie jeden Patch in das Magento-Stammverzeichnis hoch und führen den folgenden Befehl aus. Schlägt er fehl, versuchen Sie -p2 statt -p1.

patch -p1 < 249-2026-10-001-CE.patch
bin/magento cache:flush

Der Dateiname oben ist nur ein Beispiel für Adobes Namensschema: Version, Jahr, Monat, laufende Nummer und Komponente. Verwenden Sie die Namen, die tatsächlich in Ihrer ZIP stehen.

Bei Adobe Commerce on Cloud kopieren Sie die Patch-Dateien in den Ordner m2-hotfixes im Projektstamm, dann committen und pushen Sie. Cloud-Projekte können den Fix auch über das Paket Magento Cloud Patches erhalten. Enthält Ihre cloud-patches-Version den Fix bereits, spielen Sie den isolierten Patch nicht zusätzlich ein, sonst schlägt das Deployment fehl.

Prüfen Sie, ob der Shop wirklich geschützt ist

Das Commerce Version Tool (CVT) von Adobe zeigt, welche monatlichen Patches installiert sind, welche fehlen und ob Ihr Shop für jede CVE PROTECTED, VULNERABLE oder UNKNOWN ist. Führen Sie es im Magento-Stammverzeichnis aus:

php vendor/bin/patch-status --version
php vendor/bin/patch-status

Findet der erste Befehl nichts, ist das Tool noch nicht installiert. CVT wird mit dem isolierten Patch vom Juli 2026 ausgeliefert. Installieren Sie also zuerst diesen, beginnend mit seiner CE-Datei.

Schlüssel und Zugangsdaten erneuern

Adobe empfiehlt dringend, im Rahmen dieses Updates den Verschlüsselungsschlüssel und die damit verbundenen Zugangsdaten zu erneuern. Ein neuer Schlüssel allein reicht nicht, denn möglicherweise abgeflossene Zugangsdaten bleiben gültig, bis Sie sie an der Quelle ändern. Adobes Reihenfolge:

1. Spielen Sie die Patches ein, aktivieren Sie dann den Wartungsmodus und stoppen Sie Cron.
2. Erneuern Sie den Magento-Verschlüsselungsschlüssel und ändern Sie alle Admin-Passwörter.
3. Erzeugen Sie alle Integrations-Tokens für REST, SOAP und GraphQL sowie die OAuth-Secrets verbundener Apps neu.
4. Ändern Sie die API-Zugangsdaten Ihres Zahlungsanbieters im Dashboard des Anbieters, zum Beispiel bei Stripe, Adyen, PayPal oder Braintree.
5. Ändern Sie Datenbank-, SSH- und Deploy-Schlüssel sowie die API-Keys von Versand-, Steuer- und anderen Integrationen.
6. Leeren Sie den Cache, starten Sie Cron wieder und deaktivieren Sie den Wartungsmodus.

Unsere Empfehlung

Warten Sie nicht auf das nächste reguläre Release. Patchen Sie heute Ihr Staging, testen Sie Checkout, Zahlung und Admin-Login und gehen Sie diese Woche live. Meldet CVT nach dem Patchen weiterhin VULNERABLE, fehlt ein monatlicher Patch oder eine Datei wurde nicht sauber eingespielt.

Shops auf Magento Open Source 2.4.6 oder auf einem älteren Patch-Level wie 2.4.7-p8 können die Oktober-Datei nicht direkt nutzen. Sie brauchen zuerst ein Upgrade, und das ist der richtige Moment, es sauber zu planen statt in Eile.

Brauchen Sie Hilfe? MageBooster spielt den Oktober-Patch für Sie zuerst auf Staging ein, prüft ihn mit CVT, erneuert die Schlüssel und bringt ihn live. Senden Sie uns Ihre Magento-Version, wir antworten am selben Werktag.

Hilfe beim Sicherheitsupdate anfordern →

Quellen

• Adobe-Sicherheitsbulletin APSB26-153
• Adobe-Release-Notes und Patch-Dateien zu APSB26-153
• So spielen Sie einen isolierten Patch von Adobe ein
• Hotfix für CVE-2026-75650 (APSB26-146) und Schlüsselerneuerung
• Commerce Version Tool