Magento beveiligen: patches, end-of-life en extensies
Bijgewerkt op · 4 minuten lezen · door Enes
In het kort
Een Magento-webshop is zo veilig als de versie, de extensies en de PHP-versie waarop hij draait. Adobe geeft per release drie jaar standaardondersteuning met beveiligingspatches. Draait u een versie of PHP-versie zonder updates? Dan blijven bekende lekken open en loopt ook uw PCI-naleving gevaar. Werk bij, ruim extensies op en laat checkout en beheer testen.
In dit artikel (6 delen)
Waarom Magento-webshops een geliefd doelwit zijn
Magento, tegenwoordig Magento Open Source en Adobe Commerce, draait veel grotere webshops. Dat maakt ze aantrekkelijk. Wie binnenkomt, vindt klantgegevens, bestellingen en een betaalstap. Skimmers die betaalgegevens meelezen bij het afrekenen (Magecart) zijn er ooit naar genoemd.
Een Magento-shop is bovendien bijna altijd maatwerk. Een eigen thema, tientallen extensies en koppelingen met bijvoorbeeld ERP en voorraad. Elk onderdeel is code die een lek kan bevatten. En elk onderdeel moet worden bijgewerkt.
Welke Magento-versies krijgen nog beveiligingsupdates?
Adobe geeft per release drie jaar standaardondersteuning vanaf de releasedatum, met kwaliteitsfixes en beveiligingspatches. Zo staat het op de lifecycle-pagina van Adobe Commerce. Voor 2.4.9 loopt de standaardondersteuning tot 31 mei 2029. Voor 2.4.8 tot 31 mei 2028. Voor 2.4.7 tot 31 mei 2027, met verlengde ondersteuning tot 31 mei 2028. Voor 2.4.6 eindigde de standaardondersteuning op 11 augustus 2026.
Voor 2.4.4, 2.4.5 en 2.4.6 geldt een eenmalige overgangsperiode. Daarin komen alleen nog losse beveiligingsfixes. Adobe zegt er zelf bij: zie dat als tijd om te migreren, niet als ondersteuning. Draait u nog op 2.3 of ouder? Dan krijgt uw webshop al jaren geen patches meer. Controleer de actuele data op de lifecycle-pagina van Adobe. Voor Magento Open Source volgt u dezelfde releaselijn.
PHP: de vergeten zwakke plek onder uw webshop
Magento draait op PHP. Adobe geeft geen beveiligingsfixes voor de onderdelen eronder, zoals PHP, MySQL of MariaDB en OpenSearch. Adobe noemt PHP 8.1 als voorbeeld. Die versie is sinds 31 december 2025 end-of-life en wordt gebruikt door 2.4.4, 2.4.5 en 2.4.6. Volgens Adobe staat uw PCI-naleving dan op het spel, omdat lekken in PHP niet meer worden gedicht.
Lekken in PHP raken niet alleen Magento, maar elke webshop op die PHP-versie. Een actueel voorbeeld leest u op onze pagina over het PHP-lek PHP2Shell. Vraag uw hostingpartij welke PHP-versie u draait en tot wanneer die updates krijgt.
Extensies en maatwerk: waar het meestal misgaat
De kern van Magento wordt door Adobe gepatcht. Extensies van andere makers niet. Een extensie die niet meer wordt onderhouden, blijft met elk bekend lek in uw webshop staan. Loop uw extensies na. Welke gebruikt u nog en wie onderhoudt ze? Wanneer kwam de laatste update? Verwijder wat u niet gebruikt. Alleen uitschakelen is niet genoeg als de code er nog staat.
Voor eigen maatwerk bent u zelf verantwoordelijk. Adobe test het kernplatform. Uw customisaties en extensies zijn uw domein. Een pentest laat zien of uw checkout, klantaccounts en beheer echt doen wat ze moeten doen.
Wat u vandaag regelt voor uw Magento-shop
Zet tweestapsverificatie aan voor het beheer; Magento heeft dat standaard aan boord. Verander het standaard beheerpad (/admin) in iets onvoorspelbaars en beperk de toegang tot vaste IP-adressen als dat kan. Installeer beveiligingspatches binnen dagen, niet maanden. Zorg voor een dagelijkse back-up buiten de server en test of u ermee kunt herstellen. Houd een lijst bij van elk script op de checkoutpagina.
Adobe heeft een gratis Security Scan Tool voor Magento-winkels die u in uw Adobe-account kunt aanzetten. Gebruik hem: hij waarschuwt voor bekende problemen en ontbrekende patches. Lees de meldingen elke week, niet alleen na een incident.
Magento laten testen
Een scan vindt verouderde versies en ontbrekende patches. Een pentest vindt wat Magento-maatwerk gevaarlijk maakt. Bijvoorbeeld prijzen of kortingen die tussen winkelwagen en betaling te veranderen zijn. Of klanten die bestellingen van anderen zien, en API’s die meer prijsgeven dan nodig. De Inbraaktest test uw webshop van buitenaf, vanaf € 2.950 excl. btw. Met klantaccounts, rollen en API’s erbij past De Inbraaktest Totaal, vanaf € 4.950 excl. btw. Ook voor oudere versies, zodat u weet waar u staat vóór de migratie.
Wij testen alleen uw eigen maatwerk en extensies binnen de afgesproken scope. Nooit het kernplatform van Adobe. En alleen na schriftelijke toestemming van de eigenaar en zo nodig uw hostingpartij.
Veelgestelde vragen
Wat is het verschil tussen Magento Open Source en Adobe Commerce?
Magento Open Source is de gratis versie die u zelf host en beheert. Adobe Commerce is de betaalde versie met extra functies, al dan niet in de cloud van Adobe. Beide volgen dezelfde 2.4-releases; bij beide bent u zelf verantwoordelijk voor extensies en maatwerk.
Tot wanneer krijgt mijn Magento-versie beveiligingsupdates?
Adobe geeft drie jaar standaardondersteuning per release. Volgens Adobe: 2.4.7 tot 31 mei 2027, 2.4.8 tot 31 mei 2028 en 2.4.9 tot 31 mei 2029. Oudere versies krijgen hooguit nog een tijdelijke security-only overgangsperiode. Controleer de actuele lifecycle-pagina van Adobe.
Is Magento 2.4.6 nog veilig?
De standaardondersteuning van 2.4.6 eindigde op 11 augustus 2026. Er komen nog beperkte beveiligingsfixes in een overgangsperiode. Plan de upgrade nu, en controleer ook uw PHP-versie: PHP 8.1 krijgt sinds eind 2025 geen updates meer.
Mag ik mijn Magento-webshop laten pentesten?
Ja, uw eigen maatwerk en extensies. Bij Adobe Commerce Cloud test Adobe het kernplatform zelf. Leg de scope vooraf vast en vraag toestemming aan uw hostingpartij als zij de server beheren.
Hoe vaak moet ik Magento laten testen?
Minstens één keer per jaar. En na elke upgrade, nieuwe extensie of wijziging in de checkout. Verwerkt u betaalkaarten, kijk dan ook welke eisen PCI DSS stelt.
Verder lezen
Bronnen
- Adobe Commerce: software lifecycle policyexperienceleague.adobe.com
- endoflife.date: Magentoendoflife.date
- Adobe Commerce Cloud: beveiliging en gedeelde verantwoordelijkheidexperienceleague.adobe.com
- NCSC: Installeer updates tegen beveiligingslekkenncsc.nl
- OWASP Top 10:2025top10.owasp.org