Monatliche Patching-Richtlinie für isolierte Sicherheit
Um Kunden von Adobe Commerce dabei zu unterstützen, wichtige Sicherheitskorrekturen früher anzuwenden, stellt Adobe Commerce jetzt monatliche isolierte Sicherheits-Patches am Patch-Dienstag (dem zweiten Dienstag im Monat) bereit. Termine finden Sie im Veröffentlichungszeitplan Adobe Commerce. Diese Patches sind für Adobe Commerce on Cloud, lokale Adobe Commerce- und Magento Open Source-Installationen verfügbar.
Eine isolierte Sicherheits-Patch-Datei enthält nur den Code, der benötigt wird, um eine oder mehrere spezifische Sicherheitslücken zu beheben, und wird als eng gefasste Code-Diff-Datei bereitgestellt statt als vollständiges Composer-Paket. Da die Änderungen spezifisch für Sicherheitslücken sind, können sie schneller überprüft, getestet und angewendet werden als eine Sicherheits-Patch-Version, ohne dass die umfassendere Abhängigkeitsauflösung und Regressionstests ausgelöst werden, die für ein Sicherheits-Patch-Versionsupgrade erforderlich sind. Jede monatliche isolierte Sicherheits-Patch-Datei wird in die nächste vollständige Sicherheits-Patch-Version integriert, sodass Kunden alle veröffentlichten isolierten Patch-Dateien über die nächste Sicherheits-Patch-Version (-pN) erhalten können.
So passen isolierte Patches zu anderen Patch-Typen
Isolierte Sicherheits-Patches sind eine von mehreren Patches, die Adobe Commerce bereitstellt, um Kunden sicher und auf dem neuesten Stand zu halten.
Die beiden Arten von Sicherheits-Patches spielen unterschiedliche Rollen:
-
Isolierte Patches enthalten nur Schwachstellenkorrekturen und sind nicht kumulativ. Sie bündeln keine zuvor veröffentlichten isolierten Patch-Dateien. Händler müssen Patches in der richtigen Reihenfolge anwenden, da bei jedem neuen Patch davon ausgegangen wird, dass frühere Patches vorhanden sind. Um einen isolierten Sicherheits-Patch anzuwenden, muss die Installation auf dem neuesten Nur-Sicherheit-Patch-Release für die unterstützte Zeile erfolgen, da isolierte Fehlerbehebungen ausschließlich mit dieser Version getestet werden.
-
Sicherheits-Patches (
-pN) werden jährlich für alle unterstützten Versionszeilen veröffentlicht und über Composer bereitgestellt. Sie enthalten alle zuvor veröffentlichten Sicherheits-, Compliance- und Qualitäts-Hotfixes. Adobe veröffentlicht bei Bedarf möglicherweise zusätzliche Sicherheits-Patches.
Monatliche isolierte Patch-Vorteile
Die Entdeckung von Schwachstellen hat sich in der gesamten Branche beschleunigt. KI-gestützte Analyse-Tools können jetzt große Code-Basen scannen und Fehler viel schneller aufdecken als manuelle Überprüfungen, wodurch das Zeitfenster zwischen der Offenlegung und der Nutzung immer kleiner wird. Eine monatliche isolierte Patch-Kadenz schließt diese Lücke, indem Korrekturen bereitgestellt werden, sobald sie bereit sind, anstatt auf die nächste geplante Sicherheits-Patch-Version zu warten.
Das Ziel ist Geschwindigkeit ohne unnötigen Aufwand. Eine fertige Fehlerbehebung steht erst bei der nächsten Version eines Sicherheits-Patches in der Warteschlange, und Händler patchen nicht öfter als nötig. Isolierte Sicherheits-Patch-Dateien lösen diese Spannung: Jede ist ein enger, nur auf Sicherheit basierender Unterschied - viel einfacher zu überprüfen und anzuwenden als eine Sicherheits-Patch-Version, da ihr Umfang absichtlich begrenzt ist.
Dieser Ansatz funktioniert, da Single-Purpose-Patches die für Composer-Versionen erforderlichen Abhängigkeitsauflösungen und vollständigen Regressionstests überspringen, sodass sie erstellt, anhand einer bekannten Baseline validiert und schnell bereitgestellt werden können. In der Cloud-Infrastruktur werden diese Fehlerbehebungen in Cloud-Patches für Commerce gebündelt - einem Package, das von Händlern im Rahmen ihres Composer- und Bereitstellungs-Workflows aktualisiert wird. Nach der Aktualisierung wird die Fehlerbehebung automatisch während der Bereitstellung angewendet, ohne dass eine separate Patch-Datei gefunden oder angewendet werden muss. Der in Sicherheitsbulletins beschriebene manuelle Patch-Datei-Workflow gilt für lokale und Magento Open Source-Installationen, bei denen die Cloud-Pipeline nicht ausgeführt wird.
Anwenden monatlicher isolierter Patches
Gehen Sie wie folgt vor, um die monatliche isolierte Sicherheits-Patch-Datei anzuwenden und die neuesten Fehlerbehebungen auf dem neuesten Stand zu halten:
-
Überprüfen Sie den Veröffentlichungszeitplan.
Neue monatliche, isolierte Patch-Dateien werden gemäß dem Veröffentlichungszeitplan bereitgestellt. Überprüfen Sie das entsprechende Sicherheitsbulletin für betroffene Komponenten und CVEs. Jedes Bulletin enthält Links zu Versionshinweisen mit schrittweisen Anweisungen zur Installation der isolierten Patch-Datei für diesen Monat.
-
Überprüfen Sie den Sicherheitsstatus Ihrer Commerce-Installation mithilfe des Commerce-Versionstools.
Das Tool meldet, welche monatlichen Patches derzeit installiert sind, welche fehlen und welchen CVEs die Installation weiterhin ausgesetzt ist. Dies bietet eine endgültige Einschätzung, welche Maßnahmen erforderlich sind, anstatt sich allein auf die Versionsnummer zu verlassen.
-
Bestätigen Sie Ihre Baseline-Version.
Isolierte Patches werden nur gegen die neueste reine Sicherheits-
-p-Version für Ihre Produktlinie getestet. Wenn Sie auf dieser Grundlinie zurückliegen, wenden Sie sie zuerst an. -
Alle fehlenden Patches in der richtigen Reihenfolge anwenden.
Da sie nicht kumulativ sind, können Sie nicht zur neuesten Datei springen.
note NOTE Cloud-Kunden: Überprüfen Sie zuerst Ihre installierten Cloud-Patches für Version. Die Fehlerbehebung ist möglicherweise bereits enthalten und eine manuelle Anwendung kann zu einem Konflikt führen oder die Fehlerbehebung duplizieren. -
Dateien an die installierten Komponenten anpassen.
Wenden Sie nur die Datei an, die Ihrer CE-, EE-, B2B- oder anderen Komponentenversion entspricht.
-
Führen Sie das Commerce-Versionstool zur Bestätigung erneut aus.
Stellen Sie sicher, dass der neue Patch als installiert angezeigt wird und die entsprechenden CVEs jetzt als geschützt gemeldet werden.
-
Testen und dann bereitstellen.
Validieren Sie in der Staging-Umgebung, bevor Sie zur Produktion weiterleiten, gemäß Ihrem normalen Änderungsprozess.
Cloud-Kunden können auch die Adobe Commerce Patching Automation verwenden, um Patches über das Admin-Bedienfeld anstelle der manuellen Git- und Composer-Schritte oben anzuwenden oder rückgängig zu machen.
Patch-Aktionen nach Bereitstellungstyp
-p, laden Sie die Datei herunter, die jeder installierten Komponente entspricht, wenden Sie sie nacheinander an und überprüfen Sie sie mit dem Commerce-Versionstool.FAQs
Das monatliche Patchen der isolierten Sicherheit ist eine neue Versionsrichtlinie. Die folgenden Fragen betreffen gemeinsame Anliegen.
Muss ich alle bisherigen isolierten Patches oder nur die neueste Version des Sicherheits-Patches anwenden?
Sie brauchen beides. Bevor Sie einen isolierten Patch anwenden, aktualisieren Sie auf die neueste Baseline der Nur-Sicherheit--p. Jedes Pflaster wird nur an dieser Baseline getestet. Isolierte Patches sind nicht kumulativ, daher müssen alle übergangenen Patches nacheinander angewendet werden.
Wenn Sie beispielsweise die aktuelle Baseline der -p-Version verwenden, aber die isolierten Patches von Juli und August verpasst haben, wenden Sie erst Juli, dann August und dann September an. In der nächsten -p wird die Sequenz zurückgesetzt, da sie alle zuvor herausgegebenen Einzelkorrekturen enthält.
Warum wird nicht einfach ein Composer-Paket anstelle separater Patch-Dateien bereitgestellt?
Bei einer Installation mit mehreren Komponenten - CE, EE, B2B und Page Builder - kann eine monatliche Version separate Patch-Dateien erfordern, da jede Datei auf eine bestimmte installierte Komponentenversion abzielt. Die Kombination aller Korrekturen in einem Composer-Paket würde Probleme mit der Abhängigkeitsauflösung erneut verursachen und vollständige Regressionstests erfordern - die Risiken, die isolierte Patches vermeiden sollen. Cloud-Kunden müssen Patches nicht manuell anwenden. Cloud-Patches für Commerce liefern dieselben Fehlerbehebungen über die vorhandene Bereitstellungs-Pipeline.
Wie weiß ich, in welchem Sicherheitszustand sich meine Installation befindet, wenn Patches auf Patches aufgespielt sind?
Mit der Veröffentlichung der monatlichen Sicherheits-Patches führte Adobe Commerce das Commerce Version Tool ein, ein eigenständiges Dienstprogramm, das meldet, welche Patches installiert sind oder fehlen und vor welchen CVEs Ihre Installation geschützt ist. Statt sich auf Versionsnummern zu verlassen, liest das Tool Patch-Metadaten und stellt maschinenlesbare Ausgaben für das Reporting und die kontinuierliche Integration (CI) bereit.
Bedeutet dies, dass Adobe sich von kumulativen, versionierten Sicherheitsversionen zurückgezogen hat?
Anzahl Die jährliche -p-Version bleibt der primäre, kumulative Sicherheits-Checkpoint. Isolierte Patches ergänzen diese Kadenz für CVEs, die nicht sicher darauf warten können. Sie ersetzen -p Versionen nicht. Wenn Sie jedes Jahr die geplante Sicherheits-Patch-Version für Ihre Zeile anwenden, bleiben Sie auf einem vollständig unterstützten Pfad und erhalten jede Fehlerbehebung, die jemals als isolierte Datei dazwischen ausgegeben wurde.
Macht das Versenden von Fehlerbehebungen außerhalb von Composer eine Standardinstallation nicht weniger sicher?
Anzahl Der Bereitstellungsmechanismus wirkt sich nicht auf das Sicherheitsergebnis der Fehlerbehebung aus. Ein isolierter Patch wendet dieselbe Codeänderung an, die später in einer vollständigen Patch-Version (-p) enthalten ist. Ob die Fehlerbehebung als Composer-Paket oder als eigenständige Datei bereitgestellt wird, hat keinen Einfluss auf die Effektivität. Händler, die den Patch nicht anwenden, behalten die bestehende Sicherheitsbasis bis zur nächsten geplanten Sicherheitsveröffentlichung bei. Durch das Anwenden isolierter Patches kann die Verfügbarkeit reduziert werden, indem Fehlerbehebungen früher bereitgestellt werden, anstatt auf einen vollständigen Versionszyklus zu warten.