Magento-beveiligingsupdate APSB26-153: zo pas je de patch van oktober 2026 toe

Wie is getroffen

Elke webshop op Adobe Commerce 2.4.4 tot en met 2.4.9, Adobe Commerce B2B 1.3.3 tot en met 1.5.3 en Magento Open Source 2.4.6 tot en met 2.4.9 die de oktoberfixes nog niet heeft geïnstalleerd. In de versienamen van Adobe zijn dit de releases “2026-sep and earlier”.

Adobe geeft de update prioriteit 2 en zegt nog geen aanvallen te kennen die deze kwetsbaarheden misbruiken. Toch is een lek met CVSS 10,0 dat zonder login werkt precies het soort bug dat kort na publicatie van de details wordt misbruikt. Daarom raden we aan om deze week te patchen, niet ergens deze maand.

De 11 kwetsbaarheden in één oogopslag

Waarom composer update deze keer niet genoeg is

Adobe heeft de oktoberfixes ingedeeld als losse beveiligingsfixes. Voor dit soort releases publiceert Adobe alleen patchbestanden, één ZIP per versielijn, en geen nieuwe Composer-pakketten. Het idee is snelheid: je past een kleine patch toe in plaats van een volledige upgrade met gewijzigde dependencies.

Er zijn twee voorwaarden. Je webshop moet al op de nieuwste security release van zijn versielijn draaien, bijvoorbeeld 2.4.7-p10 of 2.4.8-p5. En alle eerdere maandelijkse losse patches voor die lijn moeten al geïnstalleerd zijn, want elke maand bouwt voort op de vorige.

Welk bestand je nodig hebt

Webshops op Magento Open Source kunnen patches downloaden voor 2.4.7 en nieuwer. Open Source 2.4.6 krijgt geen oktoberpatch, dus die webshops moeten upgraden naar 2.4.7 of nieuwer. Webshops op Adobe Commerce 2.4.6 of ouder loggen in met hun Composer-keys om het bestand te downloaden.

Zo pas je de patch toe, stap voor stap

1. Maak een volledige back-up van code en database en zet de patch eerst op een kopie in de stagingomgeving, nooit direct op de live webshop.
2. Controleer je exacte versie en de componenten die je hebt geïnstalleerd: CE, EE, B2B, PageBuilder enzovoort.
3. Pak het oktoberbestand uit. Het kan meerdere patchbestanden bevatten, één per component en versie. Gebruik alleen de bestanden die passen bij de componenten en versies die je echt gebruikt.
4. Pas ze in deze volgorde toe: eerst Community Edition (CE), dan Enterprise Edition (EE), daarna B2B en de andere componenten. Heb je een eerdere maand gemist, pas die maand dan eerst toe, in dezelfde volgorde.
5. Bij Adobe Commerce on-premises en Magento Open Source upload je elke patch naar de rootmap van Magento en voer je het commando hieronder uit. Lukt dat niet, probeer dan -p2 in plaats van -p1.

patch -p1 < 249-2026-10-001-CE.patch
bin/magento cache:flush

De bestandsnaam hierboven is alleen een voorbeeld van het naamgevingspatroon van Adobe: versie, jaar, maand, volgnummer en component. Gebruik de namen die echt in je ZIP staan.

Bij Adobe Commerce on Cloud kopieer je de patchbestanden naar de map m2-hotfixes in de root van het project en doe je daarna een commit en push. Cloudprojecten kunnen de fix ook krijgen via het pakket Magento Cloud Patches. Zit de fix al in jouw versie van cloud-patches, pas de losse patch er dan niet nog eens overheen toe, want dan mislukt de deployment.

Controleer of je webshop echt beschermd is

De Commerce Version Tool (CVT) van Adobe laat zien welke maandelijkse patches zijn geïnstalleerd, welke ontbreken en of je webshop per CVE PROTECTED, VULNERABLE of UNKNOWN is. Voer de tool uit vanuit de rootmap van Magento:

php vendor/bin/patch-status --version
php vendor/bin/patch-status

Vindt het eerste commando niets, dan is de tool nog niet geïnstalleerd. CVT wordt meegeleverd met de losse patch van juli 2026, dus installeer die eerst, te beginnen met het CE-bestand.

Vervang sleutels en inloggegevens

Adobe raadt sterk aan om als onderdeel van deze update de encryptiesleutel en de bijbehorende inloggegevens te vervangen. Een nieuwe sleutel alleen is niet genoeg, want gegevens die mogelijk zijn uitgelekt blijven geldig tot je ze bij de bron wijzigt. De volgorde van Adobe:

1. Pas de patches toe, zet daarna de onderhoudsmodus aan en stop cron.
2. Vervang de encryptiesleutel van Magento en wijzig alle adminwachtwoorden.
3. Genereer alle integratietokens voor REST, SOAP en GraphQL en de OAuth-secrets van gekoppelde apps opnieuw.
4. Wijzig de API-gegevens van je betaalprovider in het dashboard van die provider zelf, bijvoorbeeld Stripe, Adyen, PayPal of Braintree.
5. Wijzig database-, SSH- en deploysleutels en de API-keys van verzend-, btw- en andere integraties.
6. Leeg de cache, start cron opnieuw en zet de onderhoudsmodus uit.

Ons advies

Wacht niet op de volgende reguliere release. Patch vandaag je stagingomgeving, test checkout, betaling en de admin-login en ga deze week live. Meldt CVT na het patchen nog steeds VULNERABLE, dan ontbreekt er een maandelijkse patch of is een bestand niet goed toegepast.

Webshops op Magento Open Source 2.4.6, of op een ouder patchniveau zoals 2.4.7-p8, kunnen het oktoberbestand niet direct gebruiken. Ze hebben eerst een upgrade nodig, en dit is het moment om die goed te plannen in plaats van in haast.

Hulp nodig? MageBooster zet de oktoberpatch voor je eerst op staging, controleert hem met CVT, vervangt de sleutels en zet hem live. Stuur ons je Magento-versie en we reageren dezelfde werkdag.

Vraag hulp bij de beveiligingsupdate →

Bronnen

• Adobe-beveiligingsbulletin APSB26-153
• Releasenotes en patchbestanden van Adobe voor APSB26-153
• Zo pas je een losse patch van Adobe toe
• Hotfix voor CVE-2026-75650 (APSB26-146) en het vervangen van sleutels
• Commerce Version Tool