هندسة وأداء وأمان — منصّات مبنية لتدوم
Mage-OS 3: توزيعة ماجنتو المجتمعية تجتاز اختبار الأمان الحقيقي
بواسطة SMART SOLID SOLUTIONS
في 4 سبتمبر 2026، بدأت متاجر Magento محدّثة بالكامل بالتصحيحات تتعرض لهجمات عبر ثغرة لم تكن معروفة بعد: StyleSmuggler، المسجّلة باسم CVE-2026-75650، بتقييم 10 من 10، وقابلة للاستغلال دون أي حساب. نشرت Adobe تصحيحها في 7 سبتمبر. وفي اليوم التالي مباشرة، سلّمت التوزيعة المجتمعية Mage-OS إصدار أمان طارئًا لجميع مستخدميها. بالنسبة لتاجر يعمل على Magento Open Source، يجيب هذا الحدث عن سؤال لا يُطرح عادة إلا بعد الأزمة: يوم يشتعل كل شيء، من يمسك شبكة الأمان؟
إصدارات بلا شبكة رسمية
سياسة دورة الحياة لدى Adobe واضحة: خرج الخط 2.4.6 من الدعم القياسي في 11 أغسطس 2026، وكان الخطان 2.4.5 و2.4.4 قد خرجا قبله. أما الدعم الممدد، الذي يطيل التصحيحات سنة أو سنتين، فهو حكر على عملاء Adobe Commerce المرخّصين؛ ولا يحق لمتجر Magento Open Source الاستفادة منه.
ومع ذلك، كانت StyleSmuggler تطال جميع الإصدارات من 2.4.4 إلى 2.4.9. بعبارة أخرى: وجد جزء من المتاجر المفتوحة المصدر نفسه أمام ثغرة حرجة تُستغل فعليًا، دون قناة رسمية للتصحيح لإصداره. وهذا بالضبط هو السيناريو الذي وُجدت Mage-OS من أجله.
Mage-OS في كلمتين
ليست Mage-OS انشقاقًا يبتعد عن Magento: إنها توزيعة مجتمعية تأخذ قاعدة الشيفرة نفسها وتضيف فوقها طبقة من هندسة الإصدارات والعمل الأمني والميزات، مع مرآة خاصة بها لحزم Composer. الإصدار 3، المنشور في مايو 2026، يُبنى على Magento Open Source 2.4.9 ويضيف ما كانت الفرق تطالب به منذ سنوات: مثبّت تفاعلي، وإدارة مرتجعات مدمجة، وسجل نشاط للمشرفين، وتوزيعة مصغّرة للانطلاق الخفيف، ودعم PHP 8.4 و8.5.
اختبار سبتمبر الحقيقي
النظرية جيدة؛ لكن سبتمبر قدّم التطبيق. صدر إصدار الطوارئ 3.5.0 فور صدور تصحيح Adobe، كبديل مباشر للإصدار 3.4 — القاعدة نفسها 2.4.9، وتحديث دون ترحيل. ويحمل أيضًا التصحيح المعزول الذي نشرته Adobe في الشهر نفسه، والذي يعالج CVE-2026-77111 وست ثغرات أخرى.
الأكثر دلالة هو البلاغ المرافق له. فبينما يكتفي كثيرون بعبارة « حدّثوا الآن »، تكتب Mage-OS بوضوح أن التصحيح يغلق الباب لكنه لا يطرد مهاجمًا دخل بالفعل: يجب التعامل مع المتاجر التي كانت مكشوفة بين 4 و7 سبتمبر على أنها مخترقة محتملًا — تدوير مفاتيح التشفير وكلمات مرور المشرفين ورموز API ووصول SSH، ثم البحث عن الزرعات الخبيثة. هذا هو مستوى النضج التشغيلي المتوقع من مورّد تجاري.
مجتمع يُنجز
شبكة الأمان المجتمعية لا تساوي إلا بقدر حيوية المجتمع الذي يمسكها. وإشارات بداية الموسم جيدة: هاكاثون في بولونيا أنتج أكثر من ثلاثين مقترحًا وصوّت لأولوية نسخة إيطالية من التوزيعة؛ ويوم مساهمة في هولندا دمج أكثر من خمسين طلب سحب في يوم واحد — أمان وإتاحة وسهولة استخدام. واستبيان عام يوجّه أعمال الذكاء الاصطناعي للإصدار 4 المقبل. والخريف حافل، من Meet Magento ألمانيا في 22 أكتوبر في ماينتس إلى Meet Magento بولندا في 29 منه في بوزنان.
ثلاثة مسارات للتاجر على النسخة المفتوحة
- البقاء على توزيعة Adobe. خيار قابل للاستمرار شرط مواكبة الإيقاع: استهداف 2.4.9، المدعومة حتى مايو 2029، وإدراج ترقيات الإصدار بندًا متكررًا في الميزانية، لا مشروعًا استثنائيًا.
- التحول إلى Mage-OS. قاعدة الشيفرة نفسها، وتبديل على مستوى Composer، وتجاوب أمني مثبت، وميزات إضافية. في المقابل: لا عقد دعم ولا التزامات خدمة — الضمانة اسمها حيوية المجتمع، وتُقيَّم كما يُقيَّم أي مورّد، بالأدلة.
- الصعود إلى Adobe Commerce. إذا كانت الحاجة — B2B متقدم، التزامات تعاقدية، خدمات سحابية — تبرّر الترخيص، يتغيّر طابع السؤال: لم يعد خيار توزيعة بل خيار منصة.
الخيار الوحيد غير القابل للدفاع عنه هو الجمود: متجر مفتوح المصدر على 2.4.5 أو 2.4.6 اليوم هو دين أمني مكشوف، وقد أظهر سبتمبر للتو كلفته الحقيقية.
ما العمل هذا الأسبوع
- تحققوا من إصداركم الدقيق ومن وجود تصحيح StyleSmuggler؛ وإذا كان المتجر مكشوفًا مطلع سبتمبر، فإن تدوير المفاتيح وبيانات الاعتماد ليس اختياريًا.
- إذا كنتم على 2.4.6 أو أقدم، اختاروا الوجهة الآن — 2.4.9 لدى Adobe أو Mage-OS 3.5 — وقدّروا كلفة الترقية.
- اختبروا Mage-OS في بيئة ما قبل الإنتاج مع مجموعة إضافاتكم الحقيقية: التوافق يُتحقق منه ولا يُفترض.
- اطرحوا سؤال الحوكمة على وكالتكم أو شريككم التقني: من يتابع الإصدارات، ومن يطبّق تصحيحات الطوارئ، وفي كم من الوقت؟
أثبت سبتمبر أن الشبكة المجتمعية تصمد. لم يعد السؤال الحقيقي هل Mage-OS جادة، بل: أي خط دعم اخترتم — ومن يمسكه؟
يمكننا مساعدتك.
لنتحدث عن مشروعك.