Magento Open Source 2.4.6 bez zakrpa: upgrade, Mage-OS ili migracija

Za 2.4.4 zakrpe su prestale još u travnju 2025. Plaćena inačica, Adobe Commerce, za 2.4.6 ima produženu podršku do 31. kolovoza 2027., a besplatna Open Source inačica je nema. Ispod je koje verzije su ostale bez zakrpa, koliko je takvih hrvatskih webshopova, kada ostanak na Magentu i dalje ima smisla i što migracija stvarno uključuje.

Ukratko

• Datumi: Magento Open Source 2.4.6 bez zakrpa je od 11. 8. 2026., a 2.4.5 od 12. 8. 2025. Linija 2.4.7 dobiva ih do 31. 5. 2027., 2.4.8 do 31. 5. 2028., a 2.4.9 do 31. 5. 2029.
• Rizik nije teoretski: 7. rujna 2026. objavljena je CVE-2026-75650, ranjivost s CVSS ocjenom 10,0 koja napadaču bez prijave omogućuje izvršavanje koda. Napadi su počeli prije nego što je ispravak postojao.
• Hrvatska: Magento smo prepoznali na 6 od 52 izmjerene naslovnice (12 %). Verziju nismo mjerili, pa ne znamo koliko ih je na 2.4.6.
• Odluka: ovisi o stanju koda. Uredno održavana instalacija ima kratak put do 2.4.9, a zapuštena je bliže migraciji nego zakrpi.

Koje verzije Magenta više nemaju sigurnosne zakrpe

Adobe datume podrške za svaku 2.4.x liniju objavljuje u politici životnog ciklusa. Produženu godinu podrške i kasnije razdoblje ograničenih sigurnosnih popravaka Adobe nudi korisnicima plaćenog Adobe Commercea. Za besplatnu Open Source inačicu zakrpe prestaju s krajem standardnog razdoblja. Pregled obje inačice na jednom mjestu vodi i endoflife.date.

Iz tablice slijede dvije stvari koje se lako previde. Prvo, nadogradnja na 2.4.7 kupuje malo vremena, jer i ta linija gubi zakrpe već 31. svibnja 2027. Ako se upgrade ionako radi, cilj je 2.4.8 ili 2.4.9. Drugo, Adobe između velikih paketa izdaje izolirane sigurnosne popravke, ali ih prema svom rasporedu zakrpa testira samo na zadnjoj patch verziji podržane linije. Instalacija koja kasni nekoliko patch verzija ne može ih jednostavno primijeniti. Ni Adobe ne tretira razdoblje ograničenih popravaka kao trajno rješenje: u vlastitoj politici naziva ga vremenom za migraciju.

Rujan 2026.: prva kritična ranjivost nakon roka

Rizik se materijalizirao brzo. 7. rujna 2026. objavljena je CVE-2026-75650, ranjivost u obradi predložaka s najvišom CVSS ocjenom, 10,0. Napadač ne treba prijavu ni ikakvu radnju korisnika da bi na poslužitelju izvršio vlastiti kod. NVD kao pogođene navodi Adobe Commerce od 2.4.4 do 2.4.9 i Magento Open Source od 2.4.6 do 2.4.9. Američka agencija CISA uvrstila ju je 8. rujna u katalog ranjivosti koje se aktivno iskorištavaju.

Prema objavi Mage-OS-a, koja se poziva na tvrtku Sansec koja je propust otkrila i prijavila, napadi su počeli 4. rujna, tri dana prije Adobeova ispravka, i pogađali su i trgovine koje su tada bile potpuno ažurne. Ista objava upozorava da nadogradnja zatvara rupu, ali ne uklanja pristup koji je napadač možda već dobio. Trgovinu koja je bila dostupna između 4. i 7. rujna treba tretirati kao potencijalno kompromitiranu: pretražiti je na podmetnuti kod te promijeniti ključ za šifriranje i sve pristupne podatke koje je on štitio, uključujući administratorske lozinke, API tokene, podatke za naplatu i SSH ključeve, i to na njihovom izvoru.

Za vlasnika instalacije 2.4.6 Open Source ključno je ovo: Adobeova politika hitne ispravke (hotfix) za kritične propuste predviđa za verzije koje su u podršci, a 2.4.6 Open Source od 11. kolovoza to nije. Provjerite u Adobeovu sigurnosnom biltenu APSB26-146 postoji li ispravak za vašu točnu verziju i nemojte pretpostaviti da postoji. Kod sljedećeg propusta ovakve težine pitanje više neće biti koliko brzo zakrpati, nego čime.

PHP: drugi rok na istom poslužitelju

Magento 2.4.6 radi na PHP-u 8.1 ili 8.2. PHP 8.1 nema sigurnosnih zakrpa od 31. prosinca 2025., a PHP 8.2 gubi ih 31. prosinca 2026., prema službenoj tablici podržanih verzija. Adobe u politici životnog ciklusa posebno upozorava da rad na PHP verziji bez podrške dovodi u pitanje PCI usklađenost, a nju procjenjuje i za nju odgovara trgovac. Nadogradnja na 2.4.8 ili 2.4.9 zato uvijek uključuje i noviji PHP. Linija 2.4.9 podržava PHP 8.5.

Koliko je to hrvatskih webshopova

U Hrvatskom ecommerce benchmarku 2026 prepoznali smo Magento na 6 od 52 izmjerene naslovnice (12 %). Za usporedbu, WooCommerce smo prepoznali na 9 od 52, Shopify na 3 od 52, a PrestaShop na 1 od 52. Dvije ograde su bitne. Na 27 od 52 naslovnice (52 %) platformu nismo mogli prepoznati, pa je 12 % donja granica. Verziju Magenta nismo mjerili, pa ne znamo koliko tih trgovina radi na 2.4.6, a koliko na podržanoj liniji. Brojka kaže da Magento u Hrvatskoj nije rubna platforma, a ne koliko je trgovina izloženo.

Iz iste logike slijedi i praktičan zaključak: rok poput 11. 8. 2026. ne stiže kao račun s datumom dospijeća. Stiže kao redak u Adobeovoj dokumentaciji koji u trgovini nitko ne prati ako nitko nije zadužen za tehničko održavanje.

Tri realne opcije

Presudan podatak nije koja je platforma bolja, nego u kakvom je stanju vaša instalacija. Trgovina koja je redovito ažurirana na zadnju patch verziju 2.4.6, s urednim i standardnim ekstenzijama, ima kratak i predvidljiv put do 2.4.9 ili Mage-OS-a. Trgovina koju je netko zadnji put ozbiljno dirao prije nekoliko godina, s hrpom prilagođenih i nedokumentiranih modula, suočava se s upgradeom koji je po opsegu bliže migraciji nego zakrpi. Tada vrijedi realno usporediti trošak ostanka s troškom prelaska.

Kad ostanak na Magentu i dalje ima smisla

Magento u obliku 2.4.9 ili Mage-OS-a i dalje je opravdan izbor za trgovine sa širokim katalogom, složenim cjenicima po grupama kupaca ili već izgrađenom mrežom prilagođenih ekstenzija koje bi na drugoj platformi trebalo ponovno graditi. Ako imate developera ili agenciju koja prati Adobeove najave i planira upgrade prije svakog kraja podrške, trošak ostanka je nizak i predvidljiv. U tom slučaju migracija rješava problem koji nemate.

Migracija je opravdana kad nijedan od ta dva uvjeta nije ispunjen: kad katalog ne koristi Magentove napredne mogućnosti, kad nema tima koji bi upgrade proveo ili kad je brzina postala problem koji arhitektura sama otežava riješiti. Tehničke razloge zašto standardne platforme usporavaju na velikom katalogu opisali smo u vodiču o webshopu s 10.000+ proizvoda, a kada se isplati headless pristup, a kada ne, u vodiču o headless webshopu u Hrvatskoj.

Što migracija s Magenta stvarno uključuje

Ako odluka padne na migraciju, posao nije „prebaciti proizvode”. Magento podatke drži u strukturi u kojoj su atributi proizvoda raspoređeni po zasebnim tablicama, pa je izvoz mapiranje, ne kopiranje jedne tablice. Pet stvari mora preživjeti prelazak:

• Katalog: atributi i skupovi atributa, konfigurabilni proizvodi s varijantama, slike i zalihe po skladištima.
• Kupci: lozinke su spremljene kao hash i ne mogu se prenijeti u čitljivom obliku. Ili novi sustav zna provjeriti postojeći hash pri prvoj prijavi, ili kupci postavljaju novu lozinku, i to treba unaprijed komunicirati.
• Povijest narudžbi: kupci je očekuju u svom računu, a trgovini treba za povrate i reklamacije.
• URL-ovi: Magento vodi prepisane adrese proizvoda i kategorija u vlastitoj tablici. Svaka stara adresa koja ima promet ili vanjske linkove treba trajno preusmjeravanje (301) na novi ekvivalent, inače se gubi pozicija u Googleu.
• Poslovna logika i integracije: cjenici po grupama kupaca, uvjeti plaćanja za B2B kupce, veza s ERP-om, procesor plaćanja, dostava i fiskalizacija na novom se sustavu grade ponovno, prema dokumentaciji svakog sustava.

Ostale signale da je vrijeme za prelazak i kako izgleda plan migracije s 301 preusmjeravanjima opisujemo u vodiču kada je vrijeme za redizajn webshopa.

Što provjeriti odmah

Zaključak

11. kolovoza 2026. nije srušio nijedan webshop preko noći. Uklonio je sigurnosnu mrežu za verziju koju mnoge trgovine još koriste, a manje od četiri tjedna kasnije pojavio se propust zbog kojeg ta mreža postoji. Rizik ne raste postupno, nego skokovito, onog dana kad netko pronađe i počne iskorištavati propust koji za vašu verziju više nitko ne zakrpava. Provjera verzije i odluka između upgradea, Mage-OS-a i migracije danas su rutinski posao. Bez te odluke lako postanu hitan slučaj.

Ako odlučujete između upgradea i prelaska, na stranici migracija webshopa opisujemo kako prenosimo katalog, kupce i narudžbe i kako svaki promijenjeni URL dobiva 301 preusmjeravanje. Za procjenu vaše konkretne instalacije zatražite ponudu s verzijom, popisom ekstenzija i integracija. Razgovarat ćete izravno s inženjerom koji bi upgrade ili migraciju i izveo, a odgovor stiže unutar 24 sata radnim danom.