Magento septembrie 2026: hotfix și patch lunar

Pe 7 septembrie 2026, Adobe a publicat în afara calendarului buletinul APSB26-146, hotfixul pentru StyleSmuggler, o vulnerabilitate deja exploatată, cu scor CVSS 10.0. A doua zi, pe 8 septembrie, a venit patch-ul lunar obișnuit, APSB26-138, cu 8 vulnerabilități. Două buletine în două zile, pentru două patch-uri diferite.

E ușor de ratat: hotfixul era urgent, a intrat în aceeași noapte, iar septembrie părea rezolvat. Problema apare luna următoare. Patch-ul din octombrie, APSB26-153, publicat pe 13 octombrie, închide 11 vulnerabilități, printre ele BlockStrap, care ocolește chiar hotfixul din septembrie. Iar Adobe cere ca patch-urile lunare să fie aplicate în ordine: octombrie presupune că septembrie e deja acolo.

Două buletine în septembrie, al treilea în octombrie

APSB26-146, 7 septembrie. Hotfixul VULN-39341 pentru StyleSmuggler, CVE-2026-75650. Prioritate 1, deja exploatat. Vine ca fișier separat, nu în patch-ul lunar.
APSB26-138, 8 septembrie. Patch-ul izolat lunar, cu 8 vulnerabilități, două doar pentru B2B. Prioritate 2. Pentru 2.4.8-p5, fișierul e 2-4-8-p5-sep-2026.zip.
APSB26-153, 13 octombrie. Patch-ul lunar din octombrie, cu 11 vulnerabilități, trei doar pentru B2B. Printre ele, CVE-2026-103849, cu scor CVSS 10.0, pe care Sansec a numit-o BlockStrap și o descrie ca ocolire a hotfixului din septembrie.

Lanțul patch-urilor izolate lunare pentru Magento 2.4.8-p5: iulie 2026, august 2026, septembrie 2026 (APSB26-138, lipsește) și octombrie 2026 (APSB26-153, nu se aplică). Hotfixul din 7 septembrie, APSB26-146 și VULN-39341, stă deasupra, în afara lanțului. Concluzii: 2 buletine Adobe în septembrie, la o zi distanță; cu composer-patches 1.x, un patch sărit lasă o singură linie, iar deploy-ul merge mai departe.

De ce octombrie are nevoie de septembrie

Din iulie 2026, Adobe nu mai așteaptă o versiune -pN completă ca să publice remedierile de securitate. Le scoate lunar, în a doua zi de marți a lunii, ca patch-uri izolate. Adobe le descrie ca necumulative: fiecare lună aduce doar remedierile ei și se aplică în ordine, peste lunile dinainte. Fișierul din octombrie pornește de la codul așa cum arată după septembrie.

Cine are hotfixul, dar nu și patch-ul lunar din septembrie, a sărit o verigă. Când am pregătit octombrie pentru magazinele pe care le întreținem, fișierul pentru 2.4.8-p5 nu s-a aplicat peste august fără septembrie. Iar fără octombrie, BlockStrap rămâne deschis, deși hotfixul e la locul lui.

Pentru Magento Open Source contează și versiunea. Din septembrie, Adobe oferă fișierele lunare gratuit doar pentru 2.4.7 și mai noi, potrivit notei KA-44020. Pentru 2.4.6, 2.4.5 și 2.4.4 ai nevoie de acces Adobe Commerce.

De ce nu observi la deploy

Adobe îți spune să aplici fișierele cu comanda patch și să verifici rezultatul cu Commerce Version Tool. Multe proiecte Magento le aplică însă prin composer, cu pluginul cweagans/composer-patches. În versiunea 1.x, un patch care nu se aplică afișează „Could not apply patch! Skipping.” și e sărit, iar instalarea continuă. Doar setarea composer-exit-on-patch-failure oprește deploy-ul.

Rezultatul e o singură linie printre zeci, într-un deploy terminat cu succes. Sansec avertizează la fel: pluginurile de patch-uri pentru composer pot sări peste o bucată de patch fără să pice build-ul, iar scripturile care adaugă „|| true” ascund eșecul.

Verifici în 10 minute

Caută în composer.json sau în fișierul de patch-uri intrările pentru septembrie, nu doar VULN-39341. Pentru 2.4.8-p5, fișierul lunar e 2-4-8-p5-sep-2026.zip.
Rulează composer install pe staging și caută în ieșire „Could not apply patch”.
Verifică dacă în composer.json, la extra, există „composer-exit-on-patch-failure”: true. Fără el, un patch picat nu oprește deploy-ul.
Rulează php vendor/bin/patch-status, Commerce Version Tool de la Adobe, și vezi ce luni apar ca aplicate.

Ordinea corectă

Lunile se aplică la rând: iulie, august, septembrie, octombrie, fiecare peste cea dinainte. Hotfixul VULN-39341 e separat și poate intra oricând. Testezi pe staging, apoi pe producție.

Următoarele date din calendarul Adobe sunt 10 noiembrie și 8 decembrie, marcate opționale din cauza înghețului de cod de sărbători. Hotărăște de acum în ce zi intră fiecare, ca să nu cadă peste campaniile tale.

Rămâne valabil și restul răspunsului la StyleSmuggler: pe lângă hotfix, Adobe cere rotirea cheii de criptare și a tuturor credențialelor, cum am descris în articolul despre StyleSmuggler. Cadența lunară de patch-uri e în ghidul de mentenanță.

Nu știi ce patch-uri are de fapt magazinul tău? Programează un apel de strategie gratuit. Citim împreună composer.json și ieșirea de la deploy și îți spunem ce lipsește.