Een kritieke Magento-patch binnen een dag live in al onze shops

Als Adobe een kritieke securitypatch voor Magento uitbrengt, begint er een race. De patch laat zien waar het lek zat. Aanvallers gebruiken dat om binnen korte tijd automatisch te zoeken naar shops die de patch nog niet hebben. Bij eerdere lekken, zoals CosmicSting in 2024, werden duizenden shops geraakt die te laat waren met patchen.

Daarom willen we kritieke patches binnen een dag live hebben, in alle Magento-shops die we beheren. Met de kritieke patch van oktober 2026 is dat gelukt.

Waarom patchen vaak blijft liggen

Bij veel shops is een patch een losse klus. Iemand moet zien dat hij uit is, een developer moet tijd vrijmaken en daarna moet de wijziging gecontroleerd en live gezet worden. Bij één shop is dat te doen. Bij veel shops tegelijk wordt het een wachtrij, en elke shop achteraan in die rij loopt een dag langer risico.

Een patch die klaarstaat maar niet live is, beschermt niemand.

Hoe we het nu doen

We hebben het werk dat zich bij elke patch herhaalt geautomatiseerd. Het oordeel laten we bij een developer.

1. Komt er een kritieke patch uit, dan wordt voor elke shop automatisch een ticket aangemaakt.
2. Een AI-agent pakt het ticket op en past de patch toe op de code van die shop.
3. De agent levert een pull request op: de wijziging, klaar om te beoordelen.
4. Een developer reviewt de wijziging. Na zijn akkoord gaat de patch automatisch live op productie.

Zo hoeft een developer niet per shop dezelfde handelingen te doen. Hij besteedt zijn tijd aan wat telt: controleren of de wijziging klopt voor die specifieke shop.

Waar het toch langer duurt

Niet elke shop is in één stap te patchen. Twee situaties komen we tegen:

• De shop loopt achter op een oudere Magento-versie. Adobe brengt patches uit voor versies die nog ondersteund worden. Staat een shop op een versie die geen patches meer krijgt, dan plannen we eerst de upgrade.
• Maatwerk of een extensie raakt dezelfde code. Dan past de patch niet zomaar. De developer ziet dat in de review en lost het op voordat de patch live gaat.

Daarom houden we de shops die wij onderhouden op een ondersteunde versie. Dan is een patch een kwestie van uren, niet van een project.

Wat je hieruit meeneemt

1. Na een kritieke patch telt elk uur. Plan patchen niet in als losse klus.
2. Automatiseer het werk dat zich herhaalt, maar laat een developer elke wijziging beoordelen.
3. Houd je shop op een ondersteunde versie, zodat een patch geen upgradeproject wordt.