تحديث أغسطس 2026 من أدوبي: ثغرات حرجة في كولدفوجن وكوميرس

في 11 أغسطس 2026، أصدرت شركة أدوبي تحديثات أمنية لمعالجة أكثر من 50 ثغرة عبر مجموعة منتجاتها. تستهدف الإصلاحات الأكثر إلحاحًا منتجي كولدفوجن (ColdFusion) وأدوبي كوميرس (Adobe Commerce)، وكلاهما يستخدم على نطاق واسع في بيئات المؤسسات. على الرغم من أن أدوبي أفادت بعدم وجود استغلال نشط لهذه الثغرات حتى وقت الإعلان، إلا أن شدّة بعض العيوب — بما في ذلك ثغرة تنفيذ الأكواد عن بُعد (RCE) في كولدفوجن بتقييم CVSS 10.0 — تستدعي اتخاذ إجراءات فورية من فرق الأمن السيبراني .

أدوبي كولدفوجن (APSB26-90) — الأولوية 1 (تصحيح فوري)

صحّحت أدوبي 15 عيبًا أمنيًا في كولدفوجن 2025 و2023. تم تصنيف ثلاثة منها على أنها حرجة :

CVE	النوع	تقييم CVSS	التأثير
CVE-2026-48362	حقن أوامر نظام التشغيل	10.0	تنفيذ أكواد عن بُعد
CVE-2026-48273	حقن تعليمات برمجية (Eval injection)	9.9	تنفيذ أكواد عن بُعد
CVE-2026-71384	تفويض غير صحيح	9.6	تجاوز ضوابط الأمان، وصول إداري

• الإصدارات المتأثرة: كولدفوجن 2025 حتى الإصدار 2025.0.11، وكولدفوجن 2023 حتى الإصدار 2023.0.22. تم إصلاحها في الإصدارين 2025.0.12 و 2023.0.23 .
• حالة الاستغلال: أفادت أدوبي بعدم وجود استغلالات نشطة في البيئات الحية حتى تاريخ الإصدار .
• إرشادات التصحيح: قم بتطبيق التحديث الأمني لكولدفوجن فورًا. منحته أدوبي أولوية 1 (أعلى خطورة — "خطر أعلى لاستهدافه في البيئات الحية") .

تعد CVE-2026-48362، وهي أشد ثغرات كولدفوجن خطورة، تسمح لمهاجم غير موثّق بتنفيذ أوامر نظام تشغيل تعسفية عبر طلب مصمم خصيصًا . يمكن أن يؤدي هذا إلى اختراق كامل للخادم. كما أن ثغرة حقن التعليمات البرمجية (CVE-2026-48273) وثغرة التفويض غير الصحيح (CVE-2026-71384) تفتح الباب أيضًا أمام تنفيذ الأكواد وتصعيد الصلاحيات .

أدوبي كوميرس (APSB26-92) — الأولوية 2 (تصحيح خلال 30 يومًا)

عالجت أدوبي 7 ثغرات في كوميرس وماجنتو مفتوح المصدر .

CVE	النوع	تقييم CVSS	التأثير
CVE-2026-71362	تفويض غير صحيح	9.1	تصعيد صلاحيات (بدون مصادقة، وبدون تفاعل مستخدم)
ثغرات أخرى تم إصلاحها	متنوعة (عالية الخطورة)	—	تنفيذ أكواد تعسفية، تجاوز ميزات الأمان

• الإصدارات المتأثرة: أدوبي كوميرس 2.4.9-2026-jul والإصدارات الأقدم، بالإضافة إلى الإصدارات من 2.4.8 حتى 2.4.4؛ وماجنتو مفتوح المصدر بنفس الإصدارات؛ ووحدات Commerce B2B .
• حالة الاستغلال: أفادت أدوبي بعدم وجود استغلالات نشطة في البيئات الحية، لكن كوميرس معروف بأنه كان هدفًا في هجمات سابقة .
• إرشادات التصحيح: قم بتطبيق التصحيحات المعزولة (Isolated patches) لشهر أغسطس 2026 من قاعدة معارف أدوبي كوميرس. يمكن لعملاء كوميرس على السحابة أيضًا النشر عبر تصحيحات ماجنتو السحابية (Magento Cloud Patches). التصحيحات تراكمية لكل خط إصدار — يجب تطبيق تصحيح يوليو 2026 أولاً. توصي أدوبي بالتطبيق خلال 30 يومًا (الأولوية 2) .

تعتبر ثغرة كوميرس CVE-2026-71362 خطيرة بشكل خاص لأنها لا تتطلب أي مصادقة أو تفاعل من المستخدم، مما يسمح لمهاجم غير موثّق بتصعيد الصلاحيات عبر الشبكة . قد يؤدي هذا إلى كشف بيانات العملاء الحساسة وتمكين تعديلات غير مصرح بها على النظام .

السياق الأوسع: يوم التصحيح لأدوبي أغسطس 2026

أصدرت أدوبي خمس نشرات أمنية في 11 أغسطس، لمعالجة ما مجموعه 51 ثغرة (CVE) عبر المنتجات التالية :

• أدوبي كولدفوجن (15 ثغرة)
• أدوبي كوميرس / ماجنتو مفتوح المصدر (7 ثغرات)
• أدوبي كامبين كلاسيك (عيوب حرجة متعددة، من بينها اثنتان بتقييم CVSS 10.0)
• أدوبي لايت روم كلاسيك
• حزمة تطوير Content Credentials SDK

من بين 51 ثغرة، تم تصنيف 33 منها على أنها حرجة . كانت العناصر الأشد خطورة عبر الإصدار بأكمله هي ثغرة حقن أوامر نظام التشغيل في كولدفوجن (تقييم CVSS 10.0) وثغرتان في كامبين كلاسيك بنفس التقييم .

خلاصة رئيسية لفرق الأمان

1. يجب على مستخدمي كولدفوجن التصحيح فورًا. يمكن أن تؤدي ثغرة تنفيذ الأكواد عن بُعد (CVE-2026-48362) ذات التقييم 10.0 إلى اختراق كامل للخادم. يشير تصنيف الأولوية 1 من أدوبي إلى خطر متزايد من الاستهداف في المستقبل.
2. يجب على مستخدمي كوميرس التصحيح خلال 30 يومًا. على الرغم من عدم اكتشاف أي استغلال نشط حتى الآن، إلا أن متجه تصعيد الصلاحيات غير الموثّق (CVE-2026-71362) يشكل مصدر قلق كبير، خاصة بالنظر إلى تاريخ كوميرس كهدف.
3. لم يتم رصد أي استغلالات نشطة لأي من هذه الثغرات حتى تاريخ النشرة، لكن غياب كود الإثبات (PoC) لا يضمن السلامة .
4. تحقق من تطبيق التصحيح في بيئات الاختبار قبل نشره في بيئات الإنتاج، خاصة بالنسبة لكولدفوجن حيث قد يؤثر الإصلاح على التطبيقات المخصصة.