Wie lang erhält eine Magento Version Patches?

Dieser Beitrag soll Fragen beantworten rund um das Thema der zeitlichen Planung von Updates und Patches bei einem Magento Shop. Wie lange bekommt meine Version Patches? Was ist der Unterschied zwischen Patch und Update? Und wann sollte man ein Update machen, wann ein Patch sowie wo gibt es Informationen zu den Support-Zeiträumen.

Was ist der Unterschied zwischen einem Patch und einem Update bei Magento?

Ein Magento Patch behebt funktionale Probleme oder auch Sicherheitslücken. Das ist üblicherweise eine Patch-Datei die eingespielt wird und nur kleinere Änderungen am Shop macht. Es bedeutet jedoch nicht, dass dass die Auswirkungen klein sind. Je nach Patch müssen Dinge eingestellt, umgestellt werden usw.

Ein Update dagegen aktualisiert üblicherweise deutlich mehr. Es geht dabei oft um die Einführung komplett neuer Funktionen, Bereich oder auch den Austausch von Funktionen. Ein Update hat üblicherweise deutlich größere Auswirkungen auf den Shop. Dazu hat ein Update oft die Folge, dass Magento Erweiterungen auch aktualisiert werden müssen.

Wie lange erhält mein Magento Onlineshop Updates bzw. Patches?

Updates erhält Magento 2 solange es Magento 2 als Version gibt. 

Relevanter sind für Shopbetreiber aktuell die Patches. Eine Magento Version z.B. 2.4.6 bekommt nur eine Zeit lang Patches. Aktuell gibt es ca. 3-4 Magento Versionen für die es Updates gleichzeitig gibt. Man sollte jedoch schauen, dass man deutlich vor Ende seiner Version auf eine der neueren Versionen wechselt.

Mehr Informationen zu Patches und wie diese eingespielt werden usw. finden Sie hier

Wann Ende der Support für eine Magento Version?

Wie lange die eigene Version noch Patches bekommt kann auf der offiziellen Seite von Adobe nachschauen.

https://experienceleague.adobe.com/en/docs/commerce-operations/release/planning/lifecycle-policy  

Dort gibt es zum einen eine Tabelle inkl. der Infos zum Ende des geplanten und erweiterten Support. Diese wird von Adobe laufend aktualisiert.

Daher bitte nicht hier auf die Screenshots hier im Beitrag verlassen, sondern die offiziellen Informationen von Adobe prüfen!

Die Tabelle mit EOL der Versionen sieht so aus:

Balkendiagram mit EOL und extended Support der Versionen

Dort findet sich unter anderem solch eine Grafik. Diese Grafik zeigt übersichtlich welche Versionen wie lange unterstützt werden.

z.B. die Version 2.4.5 wäre eigentlich nur bis Ende Q3 2025 mit Patches versorgt worden. Adobe hat jedoch den Zeitraum verlängert (gelb). Jeder der aber auf der 2.4.5 Version ist, müsste eigentlich BIS Q3 2025 gewechselt sein auf die mindestens 2.4.6. und hat nun etwas mehr Zeit.

Wann erscheinen Magento Patches?

Hier gilt es zwischen regulären Patches und den außerplanmäßigen akuten Patches zu unterscheiden.

Für die regulären Patches hat Magento feste Zeiten meist mehre Jahre im Voraus angekündigt. Zu diesem Zeitpunkt wird ein Patch veröffentlich der schlicht die bis dahin angefallenen Dinge abdeckt.

Die Infos dazu gibt es hier:

https://experienceleague.adobe.com/en/docs/commerce-operations/release/planning/schedule

Es bedeutet jedoch nicht, dass diese nicht kritisch sind! Es werden teils super kritische Dinge gefixt mit diesen Patches, die dann erst wenige Tage später als solche von der Community erkannt werden. Bedeutet Adobe tut hier sehr oft bewusst "harmlos" um Angreifer nicht unnötig auf die Spur von Sicherheitslücken zu bringen. Jeder sollte so zeitnah die Patches wie möglich daher einspielen.

Es gibt weiter die außerplanmäßigen Patches. Im "harmlosen" Fall sind das Patches, die etwas korrigieren, was der reguläre Patch kaputt gemacht hat. Wenn der reguläre Patch somit neue Bugs eingeführt hat und diese korrigiert werden müssen.

Im kritischen Fall sind das jedoch Sicherheitslücken die so akut und gefährlich sind, dass Adobe und auch üblicherweise Branchenmedien darüber berichten. Dies Patches sollten dann wirklich so schnell wie nur irgendwie möglich eingespielt werden. Teilweise bietet sich da sogar an das reguläre Testen deutlich einzusparen und einige wenige sollten/müssen auch wirklich "sofort" online, da die Lücke so massiv gefährlich sind.

Informationen ob und wie kritisch Patches sind stehen üblicherweise bei den Patches. Es gab aber auch mehrfach die Fälle, dass Patches vermeintlich "kleinere" Lücken decken, aber sich danach herausstellte, dass diese viel kritischer sind. Daher auf keinen Fall Patches aufschieben und wenn nur irgendwie möglich lieber alles andere aufschieben.

Wann ist es nötig ein Magento Update durchzuführen?

Idealerweise sollte so früh wie möglich auf die neuste Magento Version gewechselt werden. Das bedeutet jedoch nicht, dass man sofort wechselt, wenn diese rauskommt.

Das Problem ist dann üblicherweise, dass die Erweiterungen im Shop ja auch alle aktualisiert werden müssen üblicherweise. Die Anbieter der Erweiterungen brauchen jedoch üblicherweise einige Monate und teilweise fallen Bugs auch schlicht erst nach ein paar Wochen/Monaten auf.

Dazu kommt, dass ein Update deutlich aufwändiger ist, als ein reiner Patch. Es ist somit auch eine Frage des Budgets/Aufwands.

Ein weitere Faktor sind generell Änderungen am Shop. Ein Update sollte idealerweise getrennt von größeren Änderungen am Shop erfolgen. Ein Update alleine kann schon genug "Probleme" machen und je weniger Abhänigkeiten es gibt umso einfacher ist es.

Es sollte unserer Meinung nach mindestens 6 Monate gewartet werden ab erscheinen einer neuen Magento Version. Um ruhig schlafen zu können, bietet es sich an mindestens aber 1 Jahr vor Support-Ende der eigenen Version gewechselt zu sein. Sprich nicht zu starten zu wechseln. Sollte es dann bei Erweiterungen oder ähnlichem unerwartet lange Probleme geben, kann man sicher wechseln.

Es bietet sich meist auch an eine Version immer zu ignorieren bzw. zu überschrieben. Bedeutet man ist auf Version 1.2 und wartet bis 1.4 oder sogar 1.5 rauskommt. Und updated dann direkt auf die 1.4 Version anstatt auf 1.3.

Auf jeden Fall sollte vermieden werden, dass man eine Version betreibt für die es keine Patches mehr gibt. Sollte dies absehbar sein, sollte der Fokus darauf liegen irgendwie möglich das Update auf eine aktuelle Version zu schaffen.

Wann ist KEIN Update nötig?

Ein Update ist wie beschrieben nicht nötig, wenn man noch genug Monate mit Patches versorgt wird. Ein Update ist in keinerweise zwingend, wenn die Funktionen nicht benötigt werden. Wenn auch alle Erweiterungen die aktuelle Version unterstützten, ist es ein weiterer Grund kein Update durchzuführen.

Wann sind KEINE Patches nötig?

Patches sind schlicht immer nötig. Es gibt keinen normalen Fall wo Patches nicht unmittelbar und so schnell wie möglich eingespielt werden sollten. Es kann sein, dass Patches Probleme machen, aber selbst dann sind die Patches nötig und die Probleme müssen gelöst werden.

Ein Update zu einer aktuelle Version ersetzt auch in keinerweise Patches. Üblicherweise erfolgt ein Update und es gab für diese Version bereits X Patches. Auch diese müssen dann sofort eingespielt werden bevor die aktualisierte Version online gehen "darf". Ein Update (und dann fehlende Patches für diese Version) ersetzt die Patche nicht.