Mage-OS 3: la distribución comunitaria de Magento supera su prueba de fuego en seguridad

El 4 de septiembre de 2026, tiendas Magento totalmente al día con sus parches empezaron a sufrir ataques a través de una falla aún desconocida: StyleSmuggler, registrada como CVE-2026-75650, puntuada con 10 sobre 10, explotable sin ninguna cuenta. Adobe publicó su corrección el 7 de septiembre. Al día siguiente, la distribución comunitaria Mage-OS entregaba una release de seguridad de emergencia a todos sus usuarios. Para un comerciante en Magento Open Source, el episodio responde a una pregunta que normalmente solo se plantea después de la crisis: el día en que todo arde, ¿quién sostiene la red de seguridad?

Versiones sin red oficial

La política de ciclo de vida de Adobe no deja lugar a dudas: la línea 2.4.6 salió del soporte estándar el 11 de agosto de 2026, y las líneas 2.4.5 y 2.4.4 la habían dejado antes. El soporte extendido, que prolonga las correcciones uno o dos años, está reservado a los clientes con licencia Adobe Commerce; una tienda Magento Open Source no tiene derecho a él.

Y sin embargo StyleSmuggler afectaba a todas las versiones, de la 2.4.4 a la 2.4.9. Dicho de otro modo: parte del parque Open Source se encontró ante una falla crítica explotada activamente, sin canal oficial de corrección para su versión. Es exactamente el escenario para el que existe Mage-OS.

Mage-OS, en dos palabras

Mage-OS no es un fork que se aleja de Magento: es una distribución comunitaria que toma la misma base de código y le añade una capa de ingeniería de releases, trabajo de seguridad y funcionalidades, con su propio espejo de paquetes Composer. La versión 3, publicada en mayo de 2026, se apoya en Magento Open Source 2.4.9 y añade lo que los equipos llevaban años pidiendo: un instalador interactivo, una gestión de devoluciones (RMA) nativa, un registro de actividad de los administradores, una distribución mínima para empezar ligero, y la compatibilidad con PHP 8.4 y 8.5.

La prueba de fuego de septiembre

La teoría está bien; septiembre aportó la práctica. La release de emergencia 3.5.0 salió inmediatamente después de la corrección de Adobe, como sustitución directa de la 3.4 — misma base 2.4.9, una actualización sin migración. Incorpora también el parche aislado publicado por Adobe el mismo mes, que corrige la CVE-2026-77111 y otras seis fallas.

Lo más revelador es la comunicación que la acompaña. Donde muchos se conforman con un simple « actualiza ya », Mage-OS escribe negro sobre blanco que el parche cierra la puerta pero no expulsa a un atacante que ya entró: las tiendas expuestas entre el 4 y el 7 de septiembre deben tratarse como potencialmente comprometidas — rotación de las claves de cifrado, de las contraseñas de admin, de los tokens de API y de los accesos SSH, y después búsqueda de implantes. Es el nivel de madurez operativa que se espera de un proveedor comercial.

Una comunidad que entrega

Una red de seguridad comunitaria vale lo que vale la vitalidad de la comunidad que la sostiene. Las señales de la vuelta al curso son buenas: un hackathon en Bolonia produjo más de treinta propuestas y votó como prioridad una variante italiana de la distribución; una jornada de contribución en los Países Bajos fusionó más de cincuenta pull requests en un solo día — seguridad, accesibilidad, usabilidad. Una encuesta pública orienta los trabajos de IA de la futura versión 4. Y el otoño viene cargado, del Meet Magento Alemania el 22 de octubre en Maguncia al Meet Magento Polonia el 29 en Poznań.

Tres caminos para una tienda Open Source

• Quedarte en la distribución de Adobe. Sostenible a condición de seguir el ritmo: apuntar a la 2.4.9, soportada hasta mayo de 2029, y presupuestar las subidas de versión como una partida recurrente, no como un proyecto excepcional.
• Pasarte a Mage-OS. La misma base de código, un cambio a nivel de Composer, reactividad de seguridad demostrada, funcionalidades extra. A cambio: sin contrato de soporte ni compromisos de servicio — la garantía se llama vitalidad comunitaria, y se evalúa como se evalúa a un proveedor, con pruebas.
• Subir a Adobe Commerce. Si la necesidad — B2B avanzado, compromisos contractuales, servicios cloud — justifica la licencia, la pregunta cambia de naturaleza: ya no es una elección de distribución sino de plataforma.

La única elección indefendible es la inmovilidad: una tienda Open Source en 2.4.5 o 2.4.6 hoy es deuda de seguridad a cielo abierto, y septiembre acaba de mostrar su coste real.

Qué hacer esta semana

• Verifica tu versión exacta y la presencia de la corrección de StyleSmuggler; si la tienda estuvo expuesta a principios de septiembre, la rotación de claves y credenciales no es opcional.
• Si estás en 2.4.6 o anterior, elige ya el destino — 2.4.9 con Adobe o Mage-OS 3.5 — y pon precio a la subida.
• Prueba Mage-OS en preproducción con tu parque real de extensiones: la compatibilidad se verifica, no se supone.
• Plantea a tu agencia o integrador la pregunta de gobernanza: quién sigue las releases, quién aplica las correcciones de emergencia y en cuánto tiempo.

Septiembre demostró que la red comunitaria aguanta. La verdadera pregunta ya no es si Mage-OS va en serio, sino: ¿qué línea de soporte has elegido — y quién la sostiene?