Magento security: snel patchen, slim hardenen, rustig herstellen
De grootste Magento-hacks van de afgelopen jaren raakten vooral shops die te laat patchten. Wij houden je Magento-installatie actueel, sluiten de bekende gaten en kijken mee als er toch iets misgaat. Je praat direct met het team dat het werk doet.
- Kritieke patches binnen dagen, niet maanden
- Audit met geprioriteerde actielijst
- CSP en SRI op je checkout
Magento is veilig te krijgen, maar niet vanzelf
Magento 2 is een volwassen platform met een serieus security-team bij Adobe. Er verschijnen regelmatig security-releases en losse patches. Het probleem zit zelden in het ontbreken van een fix. Het zit in de tijd tussen de fix en de installatie op jouw server.
Daarnaast draait geen enkele webshop op kale core. Extensies van derden, maatwerkmodules, een thema, betaalscripts en tracking vergroten het aanvalsoppervlak. Een lek in één extensie is genoeg voor een skimmer op je checkout.
Wij behandelen Magento security als onderhoud, niet als eenmalig project. Patchen, controleren, hardenen en monitoren, in een vast ritme. Met één team dat je shop kent, zodat er bij een kritiek lek niemand eerst je codebase hoeft te leren kennen.
Waarom tempo telt: de lekken die duizenden shops raakten
Dit zijn geen theoretische risico's. Deze lekken werden op grote schaal misbruikt, telkens bij shops die de patch nog niet hadden geïnstalleerd.
TrojanOrders (CVE-2022-24086)
Template injection via de checkout in 2022. Aanvallers konden code uitvoeren door kwaadaardige invoer in een bestelling te verstoppen. Het lek werd massaal misbruikt, lang nadat de fix beschikbaar was.
Lees verder →CosmicSting (CVE-2024-34102)
Een XXE-lek in Magento en Adobe Commerce, gepubliceerd in juni 2024. Aanvallers konden bestanden uitlezen, waaronder de encryptiesleutel uit env.php. Duizenden shops werden gehackt. Alleen patchen was niet genoeg: wie al geraakt was, moest ook de sleutel roteren.
Lees verder →SessionReaper (CVE-2025-54236)
CVSS 9.1, september 2025. Onjuiste inputvalidatie in de REST API, met account-overname als gevolg en remote code execution vooral bij file-based sessies. De fix kwam in Adobe-bulletin APSB25-88. Vanaf eind oktober 2025 actief misbruikt.
Lees verder →PHP2Shell (oktober 2026)
Niet Magento zelf, maar PHP: kritieke RCE's onder CVE-2026-109618 en CVE-2026-109619. Ook een volledig gepatchte Magento loopt risico als de PHP-versie op de server achterloopt. Security stopt niet bij composer.json.
Lees verder →Jouw situatie: Magento-versie en patchstatus versus risico
Waar sta je? Deze tabel geeft een eerlijke inschatting. Welke versie precies nog security-support krijgt, verandert door de tijd; dat checken we in de audit.
| Situatie | Risico | Wat wij adviseren |
|---|---|---|
| Magento 1 of OpenMage | Hoog. Magento 1 is sinds juni 2020 end-of-life. OpenMage wordt onderhouden, maar extensies en PHP-compatibiliteit blijven een zorg. | Hardenen als brug, daarna migreren naar Magento 2 met Hyvä of naar Shopify. |
| Magento 2-versie zonder security-support van Adobe | Hoog. Nieuwe lekken worden voor jouw versie niet meer gepatcht. | Upgradepad naar een ondersteunde 2.4.x-release, met losse patches als tussenstap waar mogelijk. |
| Ondersteunde 2.4.x, laatste security-release niet geïnstalleerd | Middel tot hoog. Precies het profiel dat bij TrojanOrders, CosmicSting en SessionReaper werd geraakt. | Direct patchen, daarna een vast patchritme afspreken. |
| Actueel gepatcht, geen hardening | Middel. Core is dicht, maar admin, server, extensies en checkout-scripts zijn vaak nog open. | Security audit en hardening: admin, server, CSP/SRI, extensies. |
| Actueel, gehard en gemonitord | Laag, nooit nul. | Onderhoud: patchritme, periodieke audit, monitoring op betaalpagina en bestanden. |
Wat Magento security bij ons omvat
Zes onderdelen. Je kunt ze los afnemen, maar ze werken het best samen.
Patchbeheer
We volgen Adobe-bulletins en installeren security-releases en losse patches via Composer en de Quality Patches Tool. Eerst op staging, dan productie. Kritieke lekken krijgen voorrang op al het andere werk.
Lees verder →Security audit
We controleren core-versie, extensies, maatwerkcode, admin-toegang, serverconfig, secrets en de checkout. Je krijgt een lijst op volgorde van risico, niet een stapel scanner-output.
Lees verder →Hardening
Admin achter 2FA en IP-allowlist, PHP-uitvoer blokkeren in media/, Redis, OpenSearch en MySQL niet publiek, juiste bestandsrechten, secrets buiten git.
Lees verder →CSP, SRI en PCI op de checkout
Sinds Magento 2.4.7 staat CSP in restrict mode op betaalpagina's en krijgt JS daar SRI-hashes. Dat helpt bij PCI DSS 4.0 eis 6.4.3 en 11.6.1, maar breekt vaak extensies en inline scripts. Wij lossen dat netjes op.
Lees verder →Malware en hack-herstel
Skimmer gevonden of een melding van je betaalprovider? We zoeken in bestanden én database, herstellen schoon, roteren sleutels en dichten het lek dat de aanvaller gebruikte.
Lees verder →Monitoring
Bewaking op gewijzigde bestanden, nieuwe admin-gebruikers, wijzigingen in scripts op de betaalpagina en verdachte requests. Zodat je het van ons hoort en niet van je klanten.
Lees verder →Extensies: het gat dat audits het vaakst vinden
Een gemiddelde Magento-shop draait tientallen extensies. Elke extensie is code van een andere partij met toegang tot je database, je admin en vaak je checkout. Bij audits zien we vaak extensies die al jaren geen update kregen, of modules die uitgeschakeld zijn maar nog op de server staan.
Wij lopen je composer.lock en app/code langs. Per extensie bepalen we: wordt hij nog onderhouden, zijn er bekende lekken, is hij nog nodig? Wat weg kan, gaat weg. Wat blijft, krijgt een plek in het updateritme. composer audit draait mee in de deploy, zodat bekende kwetsbaarheden in dependencies niet ongemerkt live gaan.
Maatwerk lezen we zelf. We zoeken naar ontbrekende escaping in templates, raw SQL met gebruikersinvoer, controllers zonder autorisatiecheck en API-endpoints die meer teruggeven dan nodig. Dat zijn precies de fouten die een scanner van buitenaf zelden vindt.
Hyvä en security
Hyvä vervangt de zware Luma-frontend door Alpine.js en Tailwind. Minder JavaScript betekent minder code van derden in de browser en dus een kleiner aanvalsoppervlak.
Voor CSP is dat extra interessant. Hyvä heeft een CSP-compatibele aanpak met de Alpine CSP-build, zonder unsafe-eval. Daarmee is een strikte policy haalbaarder dan op een Luma-shop vol RequireJS en inline scripts.
Hyvä is geen security-product. Een lek in core of een extensie raakt een Hyvä-shop net zo hard. Maar als je toch moderniseert, krijg je er een beter te beveiligen frontend bij. Als Hyvä Silver Partner bouwen we dagelijks op Hyvä en Hyvä Checkout.
Basischecklist: dit moet minimaal op orde zijn
Kun je niet elk punt met ja beantwoorden? Dan weet je waar je begint.
Core en code
- Laatste security-release of patches voor jouw 2.4.x geïnstalleerd
- composer audit draait in je deployproces
- Ongebruikte extensies verwijderd, niet alleen uitgeschakeld
- Maatwerk gebruikt $escaper in templates en geen raw SQL met gebruikersinvoer
Toegang
- 2FA actief voor alle admin-gebruikers (standaard sinds 2.4.0)
- Admin alleen bereikbaar via IP-allowlist of VPN
- Geen gedeelde admin-accounts, oud personeel verwijderd
- Integratietokens en API-gebruikers met minimale rechten
Server en secrets
- pub/ als webroot, geen PHP-uitvoer in media/ en static/
- env.php niet in git, encryptiesleutel geroteerd na een incident
- PHP-versie actueel en ondersteund
- Back-ups offsite en getest op terugzetten
Checkout
- CSP in restrict mode op betaalpagina's zonder brede wildcards
- SRI actief, externe scripts van je PSP correct gewhitelist
- Inventaris van alle scripts op de betaalpagina met reden en eigenaar
- Monitoring op wijzigingen van de betaalpagina
Zo werken we
Geen accountmanager ertussen. Je hebt contact met de mensen die je shop patchen.
- 1
Kennismaking en toegang
Een kort gesprek over je shop, hosting en zorgen. Daarna leesrechten op code en server, zodat we niet op aannames werken.
- 2
Nulmeting
We bepalen versie, patchstatus, extensies en de grootste open gaten. Kritieke problemen melden we meteen, niet pas in het rapport.
- 3
Dichtzetten
Ontbrekende patches installeren, admin en server hardenen, sleutels roteren waar nodig. Alles via staging en versiebeheer.
- 4
Checkout op orde
CSP en SRI netjes configureren, scriptinventaris opstellen en monitoring op de betaalpagina inrichten.
- 5
Vast ritme
Daarna patchen we op vaste momenten en bij kritieke bulletins direct. Periodiek een korte audit om nieuwe risico's te vangen.
Wat je krijgt
- Een actuele, gepatchte Magento-installatie op een ondersteunde 2.4.x-release
- Een geprioriteerde lijst met bevindingen en wat we eraan gedaan hebben
- Gehardde admin- en servertoegang, gedocumenteerd
- CSP- en SRI-configuratie voor de checkout plus een scriptinventaris
- Afspraken over reactietijd bij kritieke security-bulletins
- Monitoring met meldingen naar jou en naar ons
- Een vast aanspreekpunt in het team dat je shop kent
Waarom Coding.nl
15+ jaar Magento en e-commerce
We hebben Magento 1, de overstap naar 2 en alle grote lekken van dichtbij meegemaakt. We weten waar het in de praktijk misgaat.
Hyvä Silver Partner en Hyvä Certified
We bouwen dagelijks op Hyvä en Hyvä Checkout. Dat helpt bij een strikte CSP en een schone frontend.
Hypernode Silver Partner
Veel shops draaien op Hypernode. We kennen die omgeving en schakelen snel bij serverzaken.
Vast senior team, direct contact
Geen projectmanagers of tussenlagen. Bij een kritiek lek bel je met degene die het oplost.
Verder lezen
- ›TrojanOrders, CosmicSting, SessionReaper: wat Magento-lekken ons leren
- ›Magento 2 Security Checklist 2026: 25 Punten
- ›Magento 2 security patches installeren zonder downtime
- ›Magento CSP instellen: strict mode op de checkout zonder gedoe
- ›Magento security audit: wat wordt er gecontroleerd?
- ›Magento admin beveiligen: 2FA, IP-filter en rollen
- ›Magento security-onderhoud: wat hoort er in je contract?
- ›Magento 2 gehackt: dit doe je de eerste 24 uur
Veelgestelde vragen
Weet je niet zeker of je Magento-shop bij is?
Stuur ons je Magento-versie en hostingpartij. We vertellen je eerlijk waar je staat en wat als eerste moet, zonder verkooppraatje.