Adobe udsender nødopdatering: Kritisk ColdFusion-sårbarhed får topkarakter

Den 11. august 2026 udsendte Adobe sikkerhedsopdateringer, der adresserer over 50 sårbarheder på tværs af produktporteføljen. De mest kritiske rettelser vedrører ColdFusion og Adobe Commerce – begge produkter, der er bredt udbredt i danske og internationale virksomheder. Selvom Adobe på udgivelsestidspunktet ikke havde kendskab til, at sårbarhederne blev udnyttet aktivt, er alvorligheden af flere af fejlene – herunder en ColdFusion-sårbarhed med CVSS 10,0 – så høj, at it-sikkerhedsteams bør handle omgående .

Adobe ColdFusion (APSB26-90) – Priority 1 (opdater straks)

Adobe har rettet 15 sikkerhedsfejl i ColdFusion 2025 og 2023. Tre af dem er klassificeret som kritiske :

CVE	Type	CVSS	Konsekvens
CVE-2026-48362	OS-kommandofejl	10,0	Ekstern kodeudførelse
CVE-2026-48273	Eval-injektion	9,9	Ekstern kodeudførelse
CVE-2026-71384	Forkert autorisation	9,6	Omgåelse af sikkerhedskontroller, administrativ adgang

• Berørte versioner: ColdFusion 2025 op til 2025.0.11 og ColdFusion 2023 op til 2023.0.22. Rettet i 2025.0.12 og 2023.0.23 .
• Udnyttelsesstatus: Adobe oplyser, at der ikke er set aktiv udnyttelse i naturen pr. udgivelsestidspunkt .
• Vejledning: Installer ColdFusion-sikkerhedsopdateringen med det samme. Adobe har tildelt bulletinen Priority 1 (højeste risiko – ”højere risiko for at blive målrettet i naturen”) .

CVE-2026-48362, den alvorligste ColdFusion-fejl, gør det muligt for en uautoriseret angriber at udføre vilkårlige operativsystemkommandoer via en manipuleret forespørgsel . Det kan føre til fuld kompromittering af serveren. Eval-injektionsfejlen (CVE-2026-48273) og den forkerte autorisation (CVE-2026-71384) åbner på samme måde døren for kodeudførelse og rettighedsoptrapning .

Adobe Commerce (APSB26-92) – Priority 2 (opdater inden for 30 dage)

Adobe har løst 7 sårbarheder i Commerce og Magento Open Source .

CVE	Type	CVSS	Konsekvens
CVE-2026-71362	Forkert autorisation	9,1	Rettighedsoptrapning (uautoriseret, ingen brugerinteraktion)
Øvrige rettede CVE'er	Forskellige (høj alvorlighed)	—	Vilkårlig kodeudførelse, omgåelse af sikkerhedsfunktioner

• Berørte versioner: Adobe Commerce 2.4.9-2026-jul og tidligere, samt 2.4.8 til og med 2.4.4-udgivelseslinjer; Magento Open Source samme versioner; Commerce B2B-moduler .
• Udnyttelsesstatus: Adobe oplyser, at der ikke er set aktiv udnyttelse i naturen, men Commerce har tidligere været mål for angreb .
• Vejledning: Installer august 2026 isolerede rettelser fra Adobe Commerce-vidensbasen. Commerce-kunder i Cloud-miljøer kan også anvende rettelser via Magento Cloud Patches. Rettelserne er kumulative pr. udgivelseslinje – juli 2026-rettelsen skal være installeret først. Adobe anbefaler at anvende rettelserne inden for 30 dage (Priority 2) .

Commerce-fejlen CVE-2026-71362 er særlig farlig, fordi den ikke kræver nogen godkendelse eller brugerinteraktion, hvilket giver en uautoriseret angriber mulighed for at eskalere rettigheder over netværket . Det kan eksponere følsomme kundedata og muliggøre uautoriserede systemændringer .

Bredere kontekst: Adobes patch-tirsdag i august 2026

Adobe udsendte fem sikkerhedsbulletiner den 11. august, der adresserer i alt 51 CVE'er på tværs af :

• Adobe ColdFusion (15 CVE'er)
• Adobe Commerce / Magento Open Source (7 CVE'er)
• Adobe Campaign Classic (flere kritiske fejl, herunder to med CVSS 10,0)
• Adobe Lightroom Classic
• Content Credentials SDK

Af de 51 sårbarheder var 33 klassificeret som kritiske . De mest alvorlige på tværs af hele udgivelsen var ColdFusions OS-kommandofejl (CVSS 10,0) samt Campaign Classics to CVSS 10,0-fejl .

Vigtige pointer til it-sikkerhedsteams

1. ColdFusion-brugere bør opdatere straks. CVSS 10,0 RCE-fejlen (CVE-2026-48362) kan føre til fuld kompromittering af serveren. Adobes Priority 1-rating signalerer en forhøjet risiko for fremtidige målrettede angreb.
2. Commerce-brugere bør opdatere inden for 30 dage. Selvom der ikke er observeret aktiv udnyttelse, er den uautoriserede rettighedsoptrapningsvektor (CVE-2026-71362) en alvorlig bekymring, især i lyset af Commerces historik som angrebsmål.
3. Der er ikke observeret aktiv udnyttelse af nogen af disse sårbarheder pr. advisoriens dato, men fraværet af proof-of-concept-kode garanterer ikke sikkerhed .
4. Verificer rettelsesinstallationen i staging-miljøer, før du ruller dem ud i produktion, især for ColdFusion, hvor rettelsen kan påvirke brugerdefinerede applikationer.