Adobe korrigiert Oktober-Patch für 2.4.8-p5

Name: KonVis - Adobe korrigiert Oktober-Patch für 2.4.8-p5
Brand: KonVis
Rating: 5 (1 reviews)

Stand 19. Oktober 2026

Adobe hat den am 13. Oktober 2026 veröffentlichten Sicherheitspatch APSB26-153 für Adobe Commerce und Magento Open Source 2.4.8-p5 nachträglich korrigiert. In der ursprünglichen Patch-Datei fehlte eine zusätzliche Sicherheitsmaßnahme. Adobe hat eine überarbeitete Version bereitgestellt, allerdings unter demselben Dateinamen.

Unternehmen, die den Oktober-Patch bereits kurz nach der Veröffentlichung installiert haben, sollten deshalb prüfen, welche Version tatsächlich eingesetzt wird. Adobe empfiehlt ausdrücklich, die korrigierte Datei einzuspielen.

Quelle: Adobe Experience League, Korrektur des Oktober-Patches

Inhaltsverzeichnis

Management Summary

Betroffene Systeme: Adobe Commerce und Magento Open Source 2.4.8-p5 mit der ursprünglichen isolierten Oktober-Patch-Datei.
Ursache: Eine vorgesehene zusätzliche Sicherheitsmaßnahme im Community-Edition-Validator fehlte.
Sicherheitslage: Laut Adobe enthielt der ursprüngliche Patch bereits die erforderliche Behebung der zugehörigen Schwachstelle.
Problem: Die korrigierte Datei trägt denselben Namen. Dadurch können ältere Patch-Dateien weiterverwendet und Patchstände falsch erkannt werden.
Empfehlung: Aktuelle Patch-Datei herunterladen, ursprüngliche Version kontrolliert ersetzen und anschließend den Patchstatus überprüfen.

Quelle: https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-50927

Was hat Adobe am Oktober-Patch korrigiert?

Am 13. Oktober 2026 veröffentlichte Adobe das Sicherheitsupdate APSB26-153. Dieses behebt mehrere kritische und weitere Sicherheitslücken. Dazu gehören Schwachstellen, die unter bestimmten Voraussetzungen eine Ausführung von Schadcode, Rechteausweitung oder die Umgehung von Sicherheitsfunktionen ermöglichen können.

Quelle: https://www.adobe.com/trust/security/products/commerce/apsb26-153.html

Nach Veröffentlichung stellte Adobe fest, dass im isolierten Patch für Magento 2.4.8-p5 eine vorgesehene zusätzliche Änderung am E-Mail-Validator fehlte. Diese Maßnahme dient der weiteren Absicherung einer bereits korrigierten Schwachstelle.

Die betroffene Datei lautet:

248p5-2026-10-001-CE.patch

Adobe hat den Inhalt dieser Datei aktualisiert, ohne den Dateinamen zu ändern. Unternehmen können somit unterschiedliche Patch-Versionen besitzen, die anhand ihres Namens nicht unterscheidbar sind.

Quelle: https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-50927

Besteht durch den ursprünglichen Patch eine Sicherheitslücke?

Adobe hat die Sicherheitswirkung beider Patch-Versionen untersucht. Nach Angaben des Herstellers enthielt bereits die ursprüngliche Fassung den erforderlichen Schutz für die betroffene Adobe-Commerce-Funktion. Die nachträglich ergänzte Änderung dient einer zusätzlichen Absicherung, auch als Defense in Depth bezeichnet.

Die Installation des ursprünglichen Patches bedeutet daher laut Adobe nicht automatisch, dass der Shop durch die betreffende Schwachstelle angreifbar ist.

Die Aussage bezieht sich auf diese konkrete Nachbesserung. Andere Sicherheitslücken, fehlende Hotfixes oder nicht installierte Updates müssen unabhängig davon geprüft werden.

Quelle: https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-50927

Warum meldet Magento möglicherweise fehlende Sicherheitspatches?

Eine weitere Folge der Korrektur betrifft die technische Überprüfung des Patchstatus.

In einer Diskussion im offiziellen Magento-GitHub-Repository berichteten Entwickler bereits am 14. Oktober 2026, dass das Commerce Version Tool nach Installation des ursprünglichen Oktober-Patches einen weiteren Patch mit der Kennung 248p5-2026-10-002-CE als fehlend meldete. Gleichzeitig wurde die Schwachstelle CVE-2026-91013 teilweise als VULNERABLE ausgewiesen.

Quelle: https://github.com/magento/magento2/issues/41548

Adobe erklärt mittlerweile, dass das Prüfwerkzeug die ursprüngliche und die ergänzte Änderung als zwei separate Patch-Einträge verwaltet.

248p5-2026-10-001-CE bezeichnet den ursprünglichen Patchinhalt.
248p5-2026-10-002-CE bezeichnet die nachträglich ergänzte Validator-Änderung.

Beide Änderungen sind in der aktualisierten Datei 248p5-2026-10-001-CE.patch enthalten. Eine separate Datei 248p5-2026-10-002-CE.patch muss nicht heruntergeladen werden.

Auch ältere isolierte Patches können vom Prüfwerkzeug teilweise mit UNKNOWN gekennzeichnet werden. Dies ist in der beschriebenen Situation für sich genommen kein Beweis für eine ausnutzbare Sicherheitslücke.

Quelle: https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-50927

Was sollten Magento-Shopbetreiber jetzt unternehmen?

Für Unternehmen mit Magento 2.4.8-p5 empfiehlt sich folgende Vorgehensweise.

1. Installierten Oktober-Patch prüfen

Zunächst sollte festgestellt werden, wann die verwendete Oktober-Patch-Datei heruntergeladen wurde. Besonders relevant sind Installationen unmittelbar nach dem 13. Oktober 2026.

2. Aktuelle Patch-Version herunterladen

Die korrigierte Datei sollte erneut aus der offiziellen Adobe-Quelle bezogen werden. Bereits heruntergeladene Dateien sollten nicht ungeprüft verwendet werden.

3. Vorhandenen Patch kontrolliert ersetzen

Wurde die ursprüngliche Datei installiert, empfiehlt Adobe, diese über das bestehende Patch-Management zurückzunehmen und anschließend die korrigierte Version einzuspielen. Vor dem Produktiveinsatz sollte dies in einer Testumgebung erfolgen.

4. Patchstatus anschließend verifizieren

Adobe empfiehlt, das Commerce Version Tool zur Überprüfung einzusetzen. Der entsprechende Befehl im Magento-Projektverzeichnis lautet:

php vendor/bin/patch-status

Die Ausgabe enthält unter anderem die Bereiche applied_patches, missing_patches und vulnerability_status.

Nach erfolgreicher Installation sollten die beiden Oktober-Patch-Einträge als installiert erscheinen. Erforderliche Patches sollten nicht mehr als fehlend und relevante Schwachstellen nicht mehr als ungeschützt gemeldet werden.

5. Vorherige Sicherheitspatches berücksichtigen

Die monatlichen isolierten Sicherheitspatches sind nicht kumulativ. Daher muss ebenfalls überprüft werden, ob die zuvor veröffentlichten relevanten Patches installiert wurden.

Quelle für die Maßnahmen und Prüfverfahren: https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-50927

Weitere Sicherheitsupdates nicht vergessen

Im Zusammenhang mit APSB26-153 weist Adobe zusätzlich darauf hin, dass der Hotfix für CVE-2026-75650 separat eingespielt werden muss. Dieser ist nicht Bestandteil des isolierten Oktober-Patches.

Die Korrektur des Oktober-Patches sollte daher zum Anlass genommen werden, den gesamten Patchstand der Magento-Installation zu überprüfen.

Quelle: https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-49323

Fazit für Entscheider

Die nachträgliche Korrektur des Adobe-Oktober-Patches betrifft insbesondere Unternehmen, die Magento 2.4.8-p5 betreiben und den Sicherheitspatch unmittelbar nach seiner Veröffentlichung installiert haben.

Adobe bestätigt, dass der ursprüngliche Patch bereits die erforderliche Behebung der betreffenden Schwachstelle enthielt. Trotzdem empfiehlt der Hersteller, die überarbeitete Version einzuspielen.

Für Unternehmen ist entscheidend, dass die Installation eines Sicherheitspatches allein noch keinen vollständig dokumentierten Sicherheitsstatus nachweist. Es sollte ebenso überprüft werden, welche Patch-Version tatsächlich installiert wurde und ob sämtliche relevanten Sicherheitsupdates vorhanden sind.

Quelle: https://experienceleague.adobe.com/en/docs/experience-cloud-kcs/kbarticles/ka-50927