Die Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 ermöglichen unter bestimmten Voraussetzungen die Ausführung fremden Codes auf dem Server, und das unter Umständen ganz ohne vorherige Anmeldung. Beide wurden mit einem Schweregrad von 9,2 bewertet.

Warum ältere Magento Shops besonders betroffen sind

Magento 1 benötigt in vielen Installationen noch PHP 5.x oder PHP 7.x. Auch ältere Magento 2 Installationen sind häufig an bestimmte PHP Versionen gebunden.

Ein Wechsel auf PHP 8.3 oder 8.4 kann deshalb dazu führen, dass der Shop nicht mehr funktioniert. Veraltete Bibliotheken, individuelle Erweiterungen und Anpassungen am Magento Core machen den Wechsel mitunter zu einem größeren Projekt.

Das Problem dabei: PHP 5.x und PHP 7.x erhalten keine regulären Sicherheitsupdates mehr. Ein Shop, der gestern noch problemlos funktionierte, kann heute also einer erheblichen zusätzlichen Gefahr ausgesetzt sein.

Übrigens sind auch ältere PHP 8 Versionen betroffen. Allein die Versionsnummer 8 bedeutet noch nicht, dass ein System sicher ist.

Was können Shopbetreiber jetzt tun?

Die gute Nachricht ist, dass nicht zwingend sofort der komplette Magento Shop modernisiert werden muss, um das Risiko zumindest vorübergehend zu reduzieren.

Je nach Serverkonfiguration kommen unter anderem folgende Maßnahmen infrage:

• Webserver absichern: Gefährliche Anfragen möglichst bereits durch Apache, nginx oder eine vorgeschaltete Firewall abweisen.
• PHP Konfiguration härten: Bestimmte PHP Funktionen deaktivieren und die Verarbeitung von Anfragen serverseitig begrenzen.
• Adminbereich schützen: Den Magento Administrationsbereich zusätzlich absichern und unnötige öffentliche Zugriffsmöglichkeiten reduzieren.
• Hosting prüfen: Klären, ob der Anbieter Sicherheitskorrekturen für die verwendete alte PHP Version bereitstellt.
• Magento Erweiterungen kontrollieren: Nicht mehr benötigte Funktionen entfernen und gefährdete Schnittstellen möglichst einschränken.

Wichtig: Diese Maßnahmen ersetzen keinen Sicherheitspatch für PHP selbst. Sie können bestimmte Angriffsmöglichkeiten einschränken, bieten aber keinen vollständigen Schutz. Im Zweifelsfall muss ein gefährdetes System vorübergehend vom öffentlichen Zugriff getrennt werden.

Warum nicht einfach PHP aktualisieren?

Wer einen aktuellen Magento 2 Shop betreibt, kann oftmals vergleichsweise unkompliziert auf eine unterstützte PHP Version wechseln, sofern die installierten Erweiterungen mitspielen.

Bei Magento 1 oder älteren Magento 2 Versionen sieht es anders aus. Hier müssen zunächst die technischen Abhängigkeiten untersucht werden. Eventuell lassen sich einzelne Erweiterungen anpassen, an anderer Stelle wird eine umfassendere Aktualisierung notwendig.

Ein pauschaler Wechsel der PHP Version ist deshalb keine gute Idee. Schließlich soll der Shop nach der Sicherheitsmaßnahme auch weiterhin vollständig funktionieren.

Ich unterstütze Sie bei der Absicherung Ihres Magento Shops

Sie betreiben einen Magento 1 oder Magento 2 Shop mit PHP 5.6, 7.4 oder einer anderen veralteten PHP Version und wissen nicht, wie Sie auf die aktuellen Sicherheitslücken reagieren sollen?

Dann kontaktieren Sie mich gerne.

Ich prüfe Ihre bestehende Magento Installation, die PHP Umgebung und die Möglichkeiten zur kurzfristigen Absicherung. Dabei geht es zunächst darum, das tatsächliche Risiko zu bewerten und sinnvolle Maßnahmen umzusetzen, ohne unnötig in einen funktionierenden Shop einzugreifen.

Wenn eine dauerhafte Aktualisierung erforderlich ist, erarbeiten wir anschließend einen passenden Weg. Von der Anpassung einzelner Erweiterungen bis zum vollständigen Magento Update.

Weiterführende Informationen

Die offiziellen Informationen zu den Schwachstellen, betroffenen PHP Versionen und verfügbaren Sicherheitsupdates finden Sie direkt beim PHP Entwicklungsteam.

Wer in seinem Onlineshop körperliche Waren an Verbraucher verkauft, muss künftig ein einheitliches EU Gewährleistungslabel darstellen. Als körperliche Waren gelten praktisch alle Produkte, die physisch geliefert werden können, beispielsweise Kleidung, Werkzeuge, Elektronik, Ersatzteile oder Zubehör.

Zusätzlich kann bei einzelnen Produkten ein GARAN Label erforderlich sein. Das betrifft Produkte, für die der Hersteller eine kostenlose Haltbarkeitsgarantie von mehr als zwei Jahren gewährt, die das gesamte Produkt umfasst.

An die Darstellung und technische Einbindung werden unterschiedliche Anforderungen gestellt. Abhängig vom jeweiligen Label können Anpassungen auf der Produktseite, im Warenkorb, im Checkout und in der Bestellbestätigung notwendig sein. Auch die vorgegebenen Farben, Inhalte, Sprachen und Darstellungsmöglichkeiten müssen berücksichtigt werden.

Fehlende oder fehlerhaft dargestellte Informationen können unter anderem zu Abmahnungen und weiteren rechtlichen Konsequenzen führen.

Wenn Sie unsicher sind, ob und in welchem Umfang Ihr Shop betroffen ist, schauen wir uns die Produkte, vorhandene Herstellergarantien und den Bestellprozess gemeinsam an (keine individuelle Rechtsberatung). Auf dieser Grundlage können wir einschätzen, welche technischen Anpassungen in Ihrem Magento Shop notwendig sind.

Ich helfe Ihnen schnell und unkompliziert bei der Umsetzung in Ihrem Magento Shop, egal ob Sie Hyvä oder ein anderes Frontend nutzen. Melden Sie sich gerne, damit wir die notwendigen Anpassungen rechtzeitig vornehmen können.

Die Integration ist in Magento 1 sowie in Magento 2 möglich.

An die Darstellung und Implementierung des Widerrufsprozesses werden unterschiedliche Anforderungen gestellt, so muss der Widerruf beispielsweise explizit ohne Login möglich sein und nach der Übermittlung muss der Händler unverzüglich eine Eingangsbestätigung per E-Mail senden. Neben diesen Anforderungen gibt es einige weitere wichtige Details, welche beachtet werden sollten.

Verstöße können als Ordnungswidrigkeit mit bis zu 50.000 Euro bzw. bei großen Unternehmen bis zu 4 % des Jahresumsatzes geahndet werden.

Ich helfe Ihnen schnell und unkompliziert bei der Implementierung in Ihrem Magento Shop, egal ob Sie Hyvä oder ein anderes Frontend nutzen. Melden Sie sich gerne, dann integrieren wir den Widerrufsbutton fristgerecht in Ihren Magento Shop.

Die Integration ist in Magento 1 sowie in Magento 2 möglich.

Nutzt Ihr Magento Shop das Polyfill Javascript, kann es passieren, dass Ihre Kunden auf mit Malware infizierte Websites umgeleitet werden. Ebenfalls ist es möglich, dass Kundendaten ausgelesen und verändert werden.

Wenn Sie mögen, führe ich eine Polyfill Analyse Ihres Magento 2 Shops durch. Melden Sie sich einfach bei mir, ich helfe Ihnen schnell und zuverlässig!

Auf https://www.der-mage-experte.de/kostenfreie-analytik-plattform-fur-magento/ stelle ich Ihnen eine kostenfreie Alternative zu Google Analytics vor. Der Umstieg ist unkompliziert und schnell und somit kostengünstig gemacht.

Melden Sie sich gerne bei mir, ich nehme die Umstellung zeitnah für Sie vor.

<block type="page/html_pager" name="seo.sitemap.pager.top" as="pager_top" template="page/html/pager.phtml"/>
<block type="page/html_pager" name="seo.sitemap.pager.bottom" as="pager_bottom" template="page/html/pager.phtml"/>

php -r 'require "app/Mage.php"; Mage::app()->getCacheInstance()->flush();'

<link href="https://fonts.googleapis.com/css?family=Lato:100,100i,300,300i" rel="stylesheet">

Diese Angfragen müssen entfernt und durch den Aufruf der entsprechenden Fonts (CSS) direkt von Ihrem Server ersetzt werden. Leider kann man dafür keine allgemeine Lösung definieren, dennoch ist der Aufwand für das lokale Laden der Google Fonts in Magento in der Regel überschaubar. Ich helfe Ihnen gerne dabei, die Google Fonts lokal in Ihren Magento Shop zu integrieren.

Melden Sie sich einfach!

Melden Sie sich einfach, ich freue mich darauf, von Ihnen zu hören.

// alter Code
// $password = Mage::helper('core')->getRandomString(6);

// neuer Code
$password = Mage::helper('core')->getRandomString(7);