Mage-OS 3: Die Community-Distribution von Magento besteht den Sicherheits-Härtetest

Am 4. September 2026 wurden Magento-Shops, die bei ihren Patches vollständig auf dem neuesten Stand waren, über eine noch unbekannte Lücke angegriffen: StyleSmuggler, geführt als CVE-2026-75650, bewertet mit 10 von 10, ausnutzbar ohne jedes Konto. Adobe veröffentlichte seinen Fix am 7. September. Schon am Tag darauf lieferte die Community-Distribution Mage-OS ein Notfall-Sicherheitsrelease an alle ihre Nutzer aus. Für Händler auf Magento Open Source beantwortet die Episode eine Frage, die man sich meist erst nach der Krise stellt: Wer hält das Netz, wenn alles brennt?

Versionen ohne offizielles Netz

Adobes Lifecycle-Politik ist eindeutig: Die Linie 2.4.6 ist am 11. August 2026 aus dem Standard-Support gefallen, die Linien 2.4.5 und 2.4.4 schon davor. Der Extended Support, der Korrekturen um ein bis zwei Jahre verlängert, ist lizenzierten Adobe-Commerce-Kunden vorbehalten; ein Magento-Open-Source-Shop hat darauf keinen Anspruch.

Dabei betraf StyleSmuggler alle Versionen von 2.4.4 bis 2.4.9. Mit anderen Worten: Ein Teil der Open-Source-Installationen stand einer kritischen, aktiv ausgenutzten Lücke gegenüber — ohne offiziellen Patch-Kanal für die eigene Version. Genau für dieses Szenario existiert Mage-OS.

Mage-OS in zwei Worten

Mage-OS ist kein Fork, der sich von Magento entfernt: Es ist eine Community-Distribution, die dieselbe Codebasis übernimmt und eine Schicht aus Release-Engineering, Sicherheitsarbeit und Funktionen darüberlegt, mit eigenem Composer-Paketspiegel. Version 3, veröffentlicht im Mai 2026, baut auf Magento Open Source 2.4.9 auf und ergänzt, was Teams seit Jahren verlangten: einen interaktiven Installer, eine native Retourenverwaltung (RMA), ein Admin-Aktivitätsprotokoll, eine Minimal-Distribution für den schlanken Start sowie Unterstützung für PHP 8.4 und 8.5.

Der Härtetest im September

Theorie ist schön; der September lieferte die Praxis. Das Notfall-Release 3.5.0 erschien unmittelbar nach Adobes Fix, als direkter Ersatz für 3.4 — gleiche 2.4.9-Basis, ein Update ohne Migration. Es enthält zudem den isolierten Patch, den Adobe im selben Monat veröffentlichte und der CVE-2026-77111 sowie sechs weitere Lücken schließt.

Am aufschlussreichsten ist die begleitende Kommunikation. Wo viele sich mit einem schlichten « jetzt aktualisieren » begnügen, schreibt Mage-OS schwarz auf weiß, dass der Patch die Tür schließt, aber einen bereits eingedrungenen Angreifer nicht hinauswirft: Shops, die zwischen dem 4. und 7. September erreichbar waren, müssen als potenziell kompromittiert behandelt werden — Rotation der Verschlüsselungsschlüssel, Admin-Passwörter, API-Token und SSH-Zugänge, danach Suche nach Implantaten. Das ist das Maß an operativer Reife, das man von einem kommerziellen Anbieter erwartet.

Eine Community, die liefert

Ein Community-Netz ist nur so viel wert wie die Vitalität der Community, die es hält. Die Signale des Herbstauftakts sind gut: Ein Hackathon in Bologna brachte mehr als dreißig Vorschläge hervor und stimmte für eine italienische Ausprägung der Distribution als Priorität; ein Beitragstag in den Niederlanden führte mehr als fünfzig Pull Requests an einem einzigen Tag zusammen — Sicherheit, Barrierefreiheit, Bedienbarkeit. Eine öffentliche Umfrage steuert die KI-Arbeiten für die kommende Version 4. Und der Herbst ist dicht, von Meet Magento Deutschland am 22. Oktober in Mainz bis Meet Magento Polen am 29. in Poznań.

Drei Wege für Open-Source-Händler

Auf der Adobe-Distribution bleiben. Tragfähig, solange Sie das Tempo halten: 2.4.9 anvisieren, unterstützt bis Mai 2029, und Versionsupgrades als wiederkehrenden Posten budgetieren, nicht als Ausnahmeprojekt.
Zu Mage-OS wechseln. Gleiche Codebasis, ein Wechsel auf Composer-Ebene, nachgewiesene Sicherheitsreaktivität, zusätzliche Funktionen. Im Gegenzug: kein Supportvertrag und keine Servicezusagen — die Garantie heißt Community-Vitalität, und man bewertet sie wie einen Anbieter, mit Belegen.
Zu Adobe Commerce aufsteigen. Rechtfertigt der Bedarf — fortgeschrittenes B2B, vertragliche Zusagen, Cloud-Dienste — die Lizenz, ändert die Frage ihre Natur: Es ist keine Distributionswahl mehr, sondern eine Plattformwahl.

Die einzige unhaltbare Wahl ist der Stillstand: Ein Open-Source-Shop auf 2.4.5 oder 2.4.6 ist heute offene Sicherheitsschuld, und der September hat gerade deren realen Preis gezeigt.

Was diese Woche zu tun ist

Prüfen Sie Ihre exakte Version und ob der StyleSmuggler-Fix eingespielt ist; war der Shop Anfang September erreichbar, ist die Rotation von Schlüsseln und Zugängen nicht optional.
Wenn Sie auf 2.4.6 oder älter sind, wählen Sie jetzt das Ziel — 2.4.9 bei Adobe oder Mage-OS 3.5 — und beziffern Sie das Upgrade.
Testen Sie Mage-OS in der Vorproduktion mit Ihrem realen Extension-Bestand: Kompatibilität wird geprüft, nie angenommen.
Stellen Sie Ihrer Agentur oder Ihrem Integrator die Governance-Frage: Wer verfolgt die Releases, wer spielt Notfall-Korrekturen ein, und wie schnell?

Der September hat bewiesen, dass das Community-Netz hält. Die eigentliche Frage ist nicht mehr, ob Mage-OS seriös ist, sondern: Welche Supportlinie haben Sie gewählt — und wer hält sie?