OKTOBER 2026

Magento- und PHP-Sicherheitsupdates, Oktober 2026

Stand: 25. Oktober 2026

Adobe hat am 13. Oktober 2026 APSB26-153 veröffentlicht, PHP am 21. Oktober 2026 neue Fassungen. Ich übernehme die Arbeit daran: Updates einspielen, Stack aktuell halten. Remote aus Deutschland, Rechnung von Felix Astner Software.

Erstgespräch anfragen Die übrige Shop-Arbeit

Die Hinweise

Adobe APSB26-153

Elf Lücken. CVE-2026-103849 erlaubt Codeausführung ohne Anmeldung, CVE-2026-92909 betrifft Adobe Commerce B2B, ebenfalls ohne Anmeldung. Adobe waren zum Bulletin keine Angriffe bekannt.

CVE: CVE-2026-103849, CVE-2026-92909
Einstufung: kritisch, CVSS 3.1: 10.0 und 9.8; Adobe-Priorität 2
Betroffen: Adobe Commerce 2.4.4 bis 2.4.9, Magento Open Source 2.4.6 bis 2.4.9, jeweils -2026-sep und älter; B2B 1.3.3 bis 1.5.3
Behoben in: Magento Open Source 2.4.7-2026-oct, 2.4.8-2026-oct und 2.4.9-2026-oct; für Open Source 2.4.6 nennt Adobe keine Oktober-Fassung. Adobe Commerce 2.4.4-2026-oct bis 2.4.9-2026-oct.
Veröffentlicht: 13. Oktober 2026

Offizieller Hinweis

Adobe APSB26-146, September

Codeausführung ohne Anmeldung. Laut Adobe wird die Lücke bereits ausgenutzt. Der Hotfix steckt nicht in den Oktober-Fassungen und muss zusätzlich eingespielt werden. Adobe empfiehlt außerdem, den Verschlüsselungsschlüssel und die Zugangsdaten zu erneuern.

CVE: CVE-2026-75650
Einstufung: kritisch, CVSS 3.1: 10.0; Adobe-Priorität 1
Betroffen: Adobe Commerce 2.4.4 bis 2.4.9, Magento Open Source 2.4.6 bis 2.4.9, jeweils -2026-aug und älter
Behoben in: Hotfix VULN-39341
Veröffentlicht: 7. September 2026

Offizieller Hinweis Adobe Knowledge Base: Hotfix und Schlüsseltausch

PHP, 21. Oktober 2026

Codeausführung ohne Anmeldung über die Web-SAPIs, darunter PHP-FPM und mod_php. Ein Magento-Patch ändert an der PHP-Fassung nichts. Für PHP 7.4, 8.0 und 8.1 gibt es keine neue Fassung; das PHP-Sicherheitsteam hat Backports als Quellcode veröffentlicht.

CVE: CVE-2026-109618, CVE-2026-109619
Einstufung: kritisch, CVSS 4.0: 9.2
Betroffen: PHP vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12
Behoben in: 8.5.12, 8.4.27, 8.3.36 und 8.2.35
Veröffentlicht: 21. Oktober 2026

Offizieller Hinweis

PHP, 23. Oktober 2026

Bis dahin empfiehlt PHP, session.upload_progress.enabled in der php.ini oder der Pool-Konfiguration abzuschalten.

CVE: CVE-2026-115560
Einstufung: von PHP noch nicht eingestuft
Betroffen: Anwendungen mit einer ungewöhnlichen Session-Konfiguration
Behoben in: noch keine Fassung; der Fix folgt mit der nächsten regulären Fassung
Veröffentlicht: 23. Oktober 2026

Offizieller Hinweis

Ablauf

Erstgespräch

Welche Magento- und PHP-Fassung der Shop fährt und welche Updates dazu gehören.

Einspielen

Oktober-Fassung, sofern Adobe eine anbietet, September-Hotfix und PHP-Fassung. Danach die PHP-Prozesse neu starten.

Aktuell halten

Checkout und Admin danach durchklicken, aufschreiben, welche Fassungen laufen, und beim nächsten Bulletin weitermachen.

Die Erweiterungen schließen dieses Bulletin nicht. Lizenzen bleiben getrennt, auf fx-base.dev. Die Erweiterungen ansehen.

Erstgespräch anfragen

Welcher Shop, welche Magento- und PHP-Fassung. Ich melde mich persönlich, und wir besprechen, welche Updates anstehen.