Magento Open Source

Magento Open Source - бесплатное ядро платформы, которой торгуют средние и крупные магазины. Владелец продукта - Adobe, купившая Magento в 2018 году за 1,68 млрд долларов.

В ядре есть то, чего у конструкторов не бывает: конфигурируемые и составные товары, несколько источников остатков, правила цен под сегмент покупателей, несколько витрин и валют на одной установке, GraphQL и REST для внешних интеграций.

Платить Adobe не нужно: лицензия OSL-3.0 разрешает и коммерческие магазины. Деньги вендор берет за редакцию Adobe Commerce, где сверху добавлены B2B-модуль, Live Search и продленная поддержка.

Размен понятен: Magento снимает потолок настройки и отдает данные вам, но перекладывает на вас интеграции с российскими платежами, доставками и учетом. Битрикс берет деньги, зато привозит это готовым.

Это не один контейнер, а пять служб рядом. PHP-FPM выполняет приложение, MySQL хранит каталог и заказы, OpenSearch обслуживает поиск по товарам, Valkey держит кэш и сессии, nginx раздает статику.

Неприятность в том, что требуемых версий нет в LTS-дистрибутиве. Ubuntu 24.04 дает PHP 8.3 вместо 8.5, MySQL 8.0 вместо 8.4, nginx 1.24 вместо 1.30, а пакета OpenSearch в ней нет вовсе.

То есть установка начинается с четырех сторонних репозиториев. Valkey 9 на LTS штатно не получить: официального apt под Ubuntu 24.04 у проекта нет, и мы взяли 7.2.13 - Magento работает с ним по протоколу Redis.

Единственная цифра во всей странице требований - про обновление: до 2 ГБ оперативной памяти, а при меньшем объеме документация велит сделать swap. Остальное пришлось мерить самим.

Магазину с реальным каталогом на десятки тысяч позиций лучше брать CPU6-RAM16-DISK100: у нас в базе 2040 товаров демо-данных, и на восьми гигабайтах запас невелик.

Официальная инструкция предлагает ставить метапакет с repo.magento.com, а он требует пару именных ключей из Commerce Marketplace. Бесплатный продукт, который нельзя просто скачать.

Обходится это зеркалом сообщества Mage-OS: тот же composer-репозиторий, те же пакеты, аккаунт Adobe не нужен. Проверили: версия 2.4.9 и демо-данные в зеркале есть.

1. Подключить репозитории стека

   PHP 8.5 из ondrej/php, MySQL 8.4 из repo.mysql.com, OpenSearch 3 и nginx 1.30 из репозиториев проектов.

2. Подготовить базу

   [mysqld]
   log_bin_trust_function_creators = 1
   bind-address = 127.0.0.1
   mysqlx-bind-address = 127.0.0.1

   Первая строка обязательна: Magento создает триггеры, а при включенном binlog MySQL 8.4 без нее откажет.

3. Скачать Magento с зеркала

   export COMPOSER_MEMORY_LIMIT=-1
   composer create-project --repository-url=https://mirror.mage-os.org/ \
     magento/project-community-edition=2.4.9 /var/www/magento

   121 секунда на нашей машине, 841 МБ в каталоге vendor.

4. Установить и перевести в production

   В setup:install сразу задайте нестандартный адрес админки через --backend-frontname, поисковый движок и адрес Valkey. Затем deploy:mode:set production и cron:install.

Две цифры стоит запомнить. Первая: OpenSearch съедает 58 процентов всей занятой памяти, то есть тариф магазина определяет поисковый движок, а не PHP.

Вторая: разница между холодным и теплым кэшем - от 40 до 90 раз на всех страницах. Категория отдается за 0,049 с, поиск за 0,052 с, а те же страницы после сброса кэша - за 2-4 секунды.

Проверено на версии 2.4.9, сентябрь 2026, тариф CPU6-RAM16-DISK100. На новых версиях результаты могут отличаться.

7 сентября 2026 Adobe выпустила бюллетень APSB26-146 с высшим приоритетом: CVE-2026-75650, оценка 10.0, выполнение произвольного кода без аутентификации. Затронуты все линии с 2.4.4 по 2.4.9.

Компания Sansec, нашедшая проблему, зафиксировала атаки с 4 сентября - за три дня до патча, против магазинов, полностью обновленных на тот момент. Уязвимость попала в каталог активно эксплуатируемых CISA.

Бесключевой путь существует. Форк Mage-OS наложил тот же фикс на свое ядро и выпустил 3.5.0 через день после Adobe, а исходники исправления открыты под той же лицензией.

Мы взяли разницу между 3.4.0 и 3.5.0 в публичном репозитории форка, отобрали из нее только security-часть, переложили пути под раскладку composer-установки и наложили. Все 18 файлов легли на ванильную 2.4.9.

И отдельно: composer audit на свежей 2.4.9 пишет, что уязвимостей не найдено. Проверять безопасность магазина этой командой бесполезно.

С января 2026 Adobe перешла на месячные изолированные патчи безопасности. Они не появляются тегами на GitHub, поэтому следить надо за бюллетенями, а не за релизами репозитория.

Что обязательно сделать до прода, помимо патча: нестандартный адрес админки, провайдер двухфакторной аутентификации, reCAPTCHA на входе, TLS на витрине и смена адреса отправителя писем.

• Обратный прокси - Traefik или nginx снаружи для TLS: в продукт сертификаты не входят.
• Varnish 8 - Adobe тестирует именно его как полностраничный кэш; на одной машине его роль закрывает Valkey.
• Бэкапы - дамп MySQL плюс каталоги pub/media и app/etc, база с демо-каталогом занимает 25 МБ.
• Мониторинг - Prometheus и Grafana: следить стоит за очередью индексаторов и памятью JVM.
• OpenCart - легкий движок магазина на противоположном полюсе по требованиям.