Mage-OS 3: a distribuição comunitária do Magento passa no teste de segurança

A 4 de setembro de 2026, lojas Magento totalmente atualizadas nos seus patches começaram a ser atacadas através de uma falha ainda desconhecida: StyleSmuggler, registada como CVE-2026-75650, classificada com 10 em 10, explorável sem qualquer conta. A Adobe publicou a correção a 7 de setembro. Logo no dia seguinte, a distribuição comunitária Mage-OS entregava uma release de segurança de emergência a todos os seus utilizadores. Para um comerciante em Magento Open Source, o episódio responde a uma pergunta que normalmente só se faz depois da crise: no dia em que tudo arde, quem segura a rede de segurança?

Versões sem rede oficial

A política de ciclo de vida da Adobe não deixa dúvidas: a linha 2.4.6 saiu do suporte standard a 11 de agosto de 2026, e as linhas 2.4.5 e 2.4.4 já tinham saído antes. O suporte alargado, que prolonga as correções por um ou dois anos, está reservado aos clientes com licença Adobe Commerce; uma loja Magento Open Source não tem direito a ele.

Ora, a StyleSmuggler afetava todas as versões, da 2.4.4 à 2.4.9. Por outras palavras: parte do parque Open Source viu-se perante uma falha crítica ativamente explorada, sem canal oficial de correção para a sua versão. É precisamente o cenário para o qual a Mage-OS existe.

Mage-OS, em duas palavras

A Mage-OS não é um fork que se afasta do Magento: é uma distribuição comunitária que retoma a mesma base de código e lhe acrescenta uma camada de engenharia de releases, trabalho de segurança e funcionalidades, com o seu próprio espelho de pacotes Composer. A versão 3, publicada em maio de 2026, assenta no Magento Open Source 2.4.9 e acrescenta o que as equipas pediam há anos: um instalador interativo, uma gestão de devoluções (RMA) nativa, um registo de atividade dos administradores, uma distribuição mínima para começar leve, e o suporte de PHP 8.4 e 8.5.

O teste real de setembro

A teoria é boa; setembro trouxe a prática. A release de emergência 3.5.0 saiu logo a seguir à correção da Adobe, como substituição direta da 3.4 — a mesma base 2.4.9, uma atualização sem migração. Inclui também o patch isolado publicado pela Adobe no mesmo mês, que corrige a CVE-2026-77111 e seis outras falhas.

O mais revelador é a comunicação que a acompanha. Onde muitos se ficam por um simples « atualize já », a Mage-OS escreve preto no branco que o patch fecha a porta mas não expulsa um atacante que já entrou: as lojas expostas entre 4 e 7 de setembro devem ser tratadas como potencialmente comprometidas — rotação das chaves de cifragem, das palavras-passe de admin, dos tokens de API e dos acessos SSH, seguida de uma pesquisa de implantes. É o nível de maturidade operacional que se espera de um fornecedor comercial.

Uma comunidade que entrega

Uma rede de segurança comunitária vale apenas o que vale a vitalidade da comunidade que a segura. Os sinais do regresso do verão são bons: um hackathon em Bolonha produziu mais de trinta propostas e votou como prioridade uma declinação italiana da distribuição; um dia de contribuição nos Países Baixos fundiu mais de cinquenta pull requests num único dia — segurança, acessibilidade, usabilidade. Um inquérito público orienta os trabalhos de IA da futura versão 4. E o outono está preenchido, do Meet Magento Alemanha a 22 de outubro em Mainz ao Meet Magento Polónia a 29 em Poznań.

Três caminhos para um comerciante Open Source

• Ficar na distribuição Adobe. Sustentável desde que acompanhe o ritmo: apontar à 2.4.9, suportada até maio de 2029, e orçamentar as subidas de versão como uma rubrica recorrente, não como um projeto excecional.
• Mudar para a Mage-OS. A mesma base de código, uma mudança ao nível do Composer, reatividade de segurança demonstrada, funcionalidades a mais. Em contrapartida: sem contrato de suporte nem compromissos de serviço — a garantia chama-se vitalidade comunitária, e avalia-se como se avalia um fornecedor, com provas.
• Subir para o Adobe Commerce. Se a necessidade — B2B avançado, compromissos contratuais, serviços cloud — justificar a licença, a pergunta muda de natureza: já não é uma escolha de distribuição mas uma escolha de plataforma.

A única escolha indefensável é a imobilidade: uma loja Open Source em 2.4.5 ou 2.4.6 hoje é dívida de segurança a céu aberto, e setembro acabou de mostrar o seu custo real.

O que fazer esta semana

• Verifique a sua versão exata e a presença da correção StyleSmuggler; se a loja esteve exposta no início de setembro, a rotação das chaves e credenciais não é opcional.
• Se está em 2.4.6 ou anterior, escolha já o destino — 2.4.9 com a Adobe ou Mage-OS 3.5 — e quantifique a subida.
• Teste a Mage-OS em pré-produção com o seu parque real de extensões: a compatibilidade verifica-se, não se presume.
• Coloque à sua agência ou integrador a pergunta de governação: quem acompanha as releases, quem aplica as correções de emergência, e em quanto tempo?

Setembro provou que a rede comunitária aguenta. A verdadeira pergunta já não é se a Mage-OS é séria, mas: que linha de suporte escolheu — e quem a segura?