Correctifs de sécurité Magento (APSB) : vérifier

Q: Qu'est-ce qu'un bulletin APSB pour Magento ?

C'est un bulletin de sécurité d'Adobe. Il liste les failles corrigées dans Adobe Commerce et Magento Open Source, les versions touchées, la façon de se corriger et une priorité de 1 à 3. Ils sont publiés sur l'Adobe Trust Center.

Q: Comment savoir si un correctif de sécurité Magento est appliqué ?

Le numéro de version ne suffit pas. Depuis le dossier de Magento, la commande php vendor/bin/patch-status d'Adobe liste les correctifs mensuels appliqués et ceux qui manquent, et l'état de chaque faille. Pour un fichier précis, patch -p1 --dry-run -R -f < fichier.patch se termine sans erreur si le correctif est en place.

Q: Faut-il appliquer tous les correctifs isolés, ou seulement le dernier ?

Tous ceux qui manquent, dans l'ordre des mois. Les fichiers isolés ne sont pas cumulatifs : chacun suppose que les précédents sont en place. La prochaine version -pN de votre branche les regroupe tous et remet le compteur à zéro.

Q: Dans quel délai appliquer un correctif de sécurité Adobe ?

La priorité du bulletin le dit. Priorité 1 : dès que possible, les failles sont exploitées ou très exposées. Priorité 2 : sous 30 jours. Priorité 3 : à votre appréciation.

Q: Ma version de Magento n'est plus prise en charge : que faire ?

Planifiez une montée de version. Une version hors support ne reçoit plus de correctif, même pour une faille critique. Sur Magento Open Source, seules les versions 2.4.7 et suivantes reçoivent encore les correctifs mensuels.

En bref

Un bulletin APSB annonce les failles corrigées, les versions touchées et la façon de se corriger. Sa priorité dit l’urgence : de « dès que possible » à « sous 30 jours » ou « à votre appréciation ».
Adobe livre ses correctifs de deux façons : des versions -pN installées par Composer, et chaque mois des fichiers de correctif isolés, à appliquer dans l’ordre.
Un correctif isolé ne change pas le numéro de version. Pour savoir s’il est en place, Adobe fournit un outil : vendor/bin/patch-status.
Une version qui n’est plus prise en charge ne reçoit plus de correctifs. Magento Open Source 2.4.6 n’en reçoit déjà plus.

Sommaire

Ce qu’est un bulletin de sécurité APSB pour Magento

APSB veut dire Adobe Security Bulletin. Chaque bulletin porte un numéro, comme APSB26-153 : l’année, puis un numéro d’ordre. Il dit :

quels produits et quelles versions sont touchés : Adobe Commerce, Adobe Commerce B2B, Magento Open Source ;
la solution : la version corrigée, ou le correctif à appliquer, avec un lien vers l’article d’Adobe qui l’explique ;
les failles corrigées (CVE), avec leur gravité, leur note CVSS sur 10 et si elles demandent d’être connecté pour être exploitées ;
la priorité, de 1 à 3.

La priorité est ce qu’un e-commerçant doit retenir. Adobe la définit ainsi :

Priorité	Ce que dit Adobe
1	Agir dès que possible. Les failles sont exploitées ou à risque élevé d’exploitation.
2	Agir sous 30 jours. Risque élevé d’exploitation, aucune attaque connue à ce jour.
3	À l’appréciation de l’administrateur. Exploitation peu probable.

Deux exemples récents. Le 7 septembre 2026, le bulletin APSB26-146, priorité 1, corrigeait une faille notée 10 sur 10, exploitable sans compte et déjà exploitée par des attaquants. Le 13 octobre 2026, le bulletin APSB26-153, priorité 2, corrigeait onze failles, dont une notée 10 sur 10 permettant d’exécuter du code sans être connecté.

Les bulletins d’Adobe ont déménagé sur l’Adobe Trust Center. Les plus anciens restent en archive sur l’ancienne page d’aide d’Adobe. Le plus simple est de s’abonner au service de notification de sécurité d’Adobe.

Les trois formes d’un correctif de sécurité Magento

La version de sécurité -pN, par exemple 2.4.8-p5. Elle s’installe par Composer. Elle est cumulative : elle contient tous les correctifs de sécurité publiés avant elle. Adobe en publie au moins une par an pour chaque version prise en charge.
Le fichier de correctif isolé, publié chaque mois le deuxième mardi. C’est une archive ZIP qui contient un ou plusieurs fichiers .patch, un par composant (CE pour Open Source, EE pour Adobe Commerce, B2B…). Ces fichiers ne sont pas cumulatifs : il faut appliquer tous ceux qui manquent, dans l’ordre des mois. Et ils ne s’appliquent que sur la dernière version -pN de votre branche.
Le correctif d’urgence (hotfix), pour une faille critique déjà exploitée, comme APSB26-146.

Dans les bulletins récents, Adobe nomme les versions corrigées ainsi : 2.4.8-2026-oct. Cela veut dire « 2.4.8 avec le correctif d’octobre 2026 », pas un nouveau numéro de version.

Lire la version de sa boutique Magento

Dans l’administration, en bas de chaque page : « Magento ver. 2.4.8-p5 », par exemple. C’est la version installée par Composer.

Ce numéro ne dit pas tout. Un fichier de correctif isolé modifie quelques fichiers du code, sans passer par Composer : le numéro reste le même avant et après. Adobe le dit lui-même : pour savoir où en est une boutique, il ne faut pas se fier au seul numéro de version.

Deux boutiques en 2.4.8-p5 peuvent donc être dans des états très différents :

l’une a appliqué les correctifs de septembre et d’octobre 2026 ;
l’autre n’en a appliqué aucun, ou en a appliqué un puis l’a perdu.

Car un correctif appliqué dans le dossier vendor/ peut disparaître sans bruit. Si une mise à jour ou un déploiement réinstalle le paquet concerné, Composer remet le fichier d’origine, sans le correctif.

Fin de prise en charge : votre version Magento reçoit-elle encore des correctifs ?

Adobe suit chaque version pendant trois ans à partir de sa sortie. Pendant ce temps, elle reçoit les correctifs de qualité et de sécurité. Voici le calendrier publié par Adobe pour Adobe Commerce :

Version	Sortie	Fin du support standard	Fin du support étendu	Fin de la période « sécurité seulement »
2.4.9	12 mai 2026	31 mai 2029	à définir	—
2.4.8	8 avril 2025	31 mai 2028	à définir	—
2.4.7	9 avril 2024	31 mai 2027	31 mai 2028	—
2.4.6	14 mars 2023	11 août 2026	31 août 2027	31 mai 2028
2.4.5	9 août 2022	12 août 2025	11 août 2026	31 mai 2027
2.4.4	12 avril 2022	12 avril 2025	14 avril 2026	31 mai 2027

Adobe rappelle aussi qu’elle ne corrige pas les logiciels sur lesquels Magento repose : PHP, MySQL ou MariaDB, OpenSearch, Redis… Leur suivi est à votre charge. Par exemple, PHP 8.2 ne reçoit plus de correctifs de sécurité après le 31 décembre 2026. Voir aussi notre article sur les failles critiques de PHP.

Accompagnement

Version en fin de support ou correctifs en retard ? Nous mettons votre boutique à jour

Deux façons de vous remettre à jour, selon votre version. Si elle reçoit encore des correctifs, nous appliquons ceux qui manquent. Si elle n’en reçoit plus, nous faisons la montée de version de Magento, et au besoin de PHP et des extensions. Tout est d’abord testé sur une copie de la boutique, puis passé en production à un moment calme ; vous recevez à la fin le rapport de l’outil d’Adobe. L’intervention est assurée par Cédric Michel, développeur Magento depuis 2008 et certifié Adobe Commerce Developer Expert.

Demander une mise à jour de Magento Intervention ponctuelle

Vous validez l’estimation avant toute intervention. Ouvert aussi aux boutiques et aux sites non abonnés à Tocsin24.

Vous gérez la boutique : comment savoir et quoi demander

Vous n’avez pas besoin d’ouvrir un terminal pour vous faire une idée.

Notez votre version, en bas de n’importe quelle page de l’administration.
Regardez dans le tableau ci-dessus si elle est encore suivie. Si vous êtes sur Magento Open Source 2.4.6 ou avant, la question n’est plus « quel correctif », mais « quand monter de version ».
Ouvrez le dernier bulletin pour Adobe Commerce sur l’Adobe Trust Center. Notez son numéro, sa date et sa priorité.
Demandez une preuve, pas une promesse. Adobe fournit un outil qui liste les correctifs mensuels appliqués, ceux qui manquent, et l’état de chaque faille. Demandez son rapport à votre prestataire.

Message à votre agence ou à votre prestataire

Bonjour,

Adobe a publié le bulletin de sécurité [numéro, par exemple APSB26-153] le [date]. Notre boutique est en Magento [version lue en bas de l’administration].

Pouvez-vous nous confirmer :

que notre version est encore prise en charge par Adobe, et jusqu’à quand ;
que les correctifs de sécurité de ce bulletin et des mois précédents sont appliqués en production ;
et nous envoyer le rapport de l’outil d’Adobe (commande « php vendor/bin/patch-status », lancée depuis le dossier de la boutique) ?

Si un correctif manque, pouvez-vous nous dire quand il sera appliqué ? Pour une priorité 1, nous souhaitons qu’il le soit au plus vite.

Merci.

Vous gérez le serveur : vérifier qu’un correctif de sécurité Adobe est appliqué

Toutes les commandes se lancent depuis le dossier de Magento, avec l’utilisateur qui possède les fichiers. Aucune ne modifie la boutique.

La version installée. La première commande affiche la version de l’application. La seconde la lit dans composer.lock (remplacez community par enterprise pour Adobe Commerce) :

Terminal, depuis le dossier de Magento

bin/magento --version composer show --locked magento/product-community-edition
L’état des correctifs mensuels, avec l’outil d’Adobe. Le Commerce Version Tool est livré avec les correctifs mensuels : il s’installe dans vendor/bin/patch-status quand on applique le correctif de juillet 2026. Il lit composer.lock, puis teste chaque correctif attendu sans rien modifier. Il demande PHP 8.1 ou plus récent et la commande patch du système.

Terminal

L'outil est-il installé ? php vendor/bin/patch-status --version Rapport complet (JSON) php vendor/bin/patch-status Le même rapport, une ligne par faille php vendor/bin/patch-status --format=csv

Le rapport donne la version de base, les correctifs appliqués (applied_patches), ceux qui manquent (missing_patches), ceux que l’outil ne sait pas classer (unknown_patches) et l’état de chaque faille : PROTECTED, VULNERABLE, UNKNOWN ou NOT_APPLICABLE. Adobe recommande de regarder les correctifs manquants et inconnus avant de conclure. Si la commande est introuvable, le correctif de juillet 2026 n’est pas appliqué.
Un correctif précis, sans l’outil. Si vous avez le fichier .patch téléchargé depuis l’article d’Adobe, la commande patch peut vérifier s’il est déjà en place, sans rien écrire, en simulant son retrait :

Terminal, depuis le dossier de Magento

patch -p1 --dry-run -R -f < 247p10-2026-10-001-CE.patch

Si la commande se termine sans erreur, le correctif est appliqué. Si elle affiche Hunk #1 FAILED, il ne l’est pas, ou pas en entier. Remplacez le nom par celui de votre fichier.
Appliquer les correctifs qui manquent. Suivez la procédure d’Adobe :
- testez d’abord sur une copie de la boutique, et gardez une sauvegarde récente ;
- vérifiez que vous êtes sur la dernière version -pN de votre branche : les correctifs isolés ne sont testés que sur elle ;
- appliquez tous les fichiers manquants, dans l’ordre des mois, et pour chaque mois d’abord CE, puis EE et B2B s’ils sont installés ;
- pour chaque fichier, depuis le dossier de Magento : patch -p1 < nom_du_fichier.patch (si cela échoue, Adobe conseille d’essayer -p2) ;
- videz le cache, puis relancez php vendor/bin/patch-status pour contrôler.
Gardez les fichiers de correctif dans le projet, versionnés avec le code, et réappliquez-les dans votre procédure de déploiement. Sinon, la prochaine réinstallation de vendor/ les efface sans prévenir.

Ce que les correctifs Adobe ne couvrent pas

Les extensions tierces. Un bulletin APSB ne corrige que le code d’Adobe. Vos extensions ont leurs propres failles. La commande composer audit --locked liste les avis de sécurité publiés sur Packagist pour les paquets installés. Elle ne remplace pas le suivi de chaque éditeur.
Une boutique déjà piratée. Un correctif ferme la porte ; il ne fait pas sortir quelqu’un qui est déjà entré. Après une faille exploitée comme APSB26-146, vérifiez qu’aucun compte, fichier ou script n’a été ajouté : Magento 2 piraté : les signes et la marche à suivre, repérer un compte administrateur suspect, chercher un skimmer de carte bancaire.
Le reste du durcissement. Authentification à deux facteurs, adresse de l’administration, permissions des fichiers : voir sécuriser Magento 2 et notre audit de sécurité Magento 2 en 10 points.

Tocsin24 vous dit quels correctifs Adobe manquent, et le jour même

Tocsin24 suit les bulletins d’Adobe et les archives de correctifs mensuels. Dès qu’Adobe publie l’archive du mois pour votre version, sans attendre le détail des failles, Tocsin24 vous avertit si votre boutique n’a pas le correctif (archives publiques, à partir de la 2.4.7). La page Failles montre, pour les six derniers mois, chaque bulletin, le fichier attendu pour votre version, son état (à appliquer ou appliqué) et le nombre de failles qu’il corrige. Une faille à laquelle votre boutique reste exposée ouvre un incident, de la gravité de la faille ; une faille exploitée activement est signalée comme telle.

Le module Tocsin24 relève les correctifs déclarés sur le serveur : fichiers de correctif rangés dans le projet (dossiers m2-hotfixes, patches ou m2-patches) et correctifs déclarés à Composer. Un correctif appliqué à la main dont le fichier .patch n’est rangé ni dans ces dossiers ni dans Composer n’est pas vu : la page l’affiche « à appliquer ». D’où le conseil de garder les fichiers de correctif dans le projet. Quand l’intégrité du code est surveillée, Tocsin24 contrôle ensuite dans les fichiers que chaque correctif déclaré est toujours en place : un correctif effacé par un déploiement ouvre un incident critique. La page affiche aussi le support de votre version de Magento et de PHP. Tocsin24 n’applique pas les correctifs lui-même.

Essayer gratuitement Voir la surveillance Magento 2

Failles

Inventaire relevé chaque jour par le collecteur « Inventaire des correctifs », et exposition aux failles connues.

Magento

2.4.8-p5

Community

Supportée par Adobe jusqu'au 31 mai 2028

PHP

8.3.27

Correctifs de sécurité seulement, jusqu'au 31 décembre 2027

Module Tocsin24

1.0.2

Dernière vérification

23 octobre 2026 à 09:00

Correctifs de sécurité Adobe

Bulletins Adobe des 6 derniers mois qui visent la version 2.4.8-p5, avec l'archive à télécharger et le fichier de patch qu'elle contient. « Appliqué » quand le module a relevé le patch sur la boutique.

1 patch à appliquer

Octobre 2026

APSB26-153 · bulletin mensuel du 13 octobre 2026 Télécharger 2-4-8-p5-oct-2026.zip, puis appliquer 248p5-2026-10-001-CE.patch 11 failles exposées, dont 1 critique. À appliquer après les patchs des mois précédents (cumulatifs).

À appliquer

Septembre 2026

APSB26-138 · bulletin mensuel du 8 septembre 2026 Archive 2-4-8-p5-sep-2026.zip · patch 248p5-2026-09-001-CE.patch 4 failles corrigées

Appliqué

Septembre 2026

APSB26-146 · hors calendrier du 7 septembre 2026 Exploitée activement Correctif VULN-39341, publié par une annonce Adobe à part 1 faille corrigée

Appliqué

Écrans de l’application avec des valeurs d’exemple.

Questions fréquentes

Qu’est-ce qu’un bulletin APSB pour Magento ?

C’est un bulletin de sécurité d’Adobe. Il liste les failles corrigées dans Adobe Commerce et Magento Open Source, les versions touchées, la façon de se corriger et une priorité de 1 à 3. Ils sont publiés sur l’Adobe Trust Center.

Comment savoir si un correctif de sécurité Magento est appliqué ?

Le numéro de version ne suffit pas. Depuis le dossier de Magento, la commande php vendor/bin/patch-status d’Adobe liste les correctifs mensuels appliqués et ceux qui manquent, et l’état de chaque faille. Pour un fichier précis, patch -p1 --dry-run -R -f < fichier.patch se termine sans erreur si le correctif est en place.

Faut-il appliquer tous les correctifs isolés, ou seulement le dernier ?

Tous ceux qui manquent, dans l’ordre des mois. Les fichiers isolés ne sont pas cumulatifs : chacun suppose que les précédents sont en place. La prochaine version -pN de votre branche les regroupe tous et remet le compteur à zéro.

Dans quel délai appliquer un correctif de sécurité Adobe ?

La priorité du bulletin le dit. Priorité 1 : dès que possible, les failles sont exploitées ou très exposées. Priorité 2 : sous 30 jours. Priorité 3 : à votre appréciation.

Ma version de Magento n’est plus prise en charge : que faire ?

Planifiez une montée de version. Une version hors support ne reçoit plus de correctif, même pour une faille critique. Sur Magento Open Source, seules les versions 2.4.7 et suivantes reçoivent encore les correctifs mensuels.

Cédric Michel

Cédric développe des boutiques Magento depuis 18 ans et détient la certification Adobe Commerce Developer Expert. Il a créé Tocsin24 pour surveiller la sécurité et la santé des boutiques Magento 2 et des sites WordPress.

Adobe Commerce Developer Expert
Vérifier la certification sur le site d’Adobe

Correctifs de sécurité Adobe (APSB) : vérifier qu’ils sont vraiment appliqués sur votre boutique Magento