Adobe-Update August 2026: Kritische ColdFusion- und Commerce-Lücken – sofort patchen!

Die mit Abstand gefährlichste ColdFusion-Lücke ist CVE-2026-48362: Ein nicht authentifizierter Angreifer kann durch eine manipulierte Anfrage beliebige Betriebssystembefehle ausführen . Dies ermöglicht eine vollständige Serverübernahme. Auch die anderen beiden kritischen Lücken (CVE-2026-48273 und CVE-2026-71384) öffnen Tür und Tor für Codeausführung und Rechteausweitung .

Adobe Commerce (APSB26-92) – Priorität 2 (Innerhalb von 30 Tagen einspielen)

Adobe hat 7 Schwachstellen in Commerce und Magento Open Source geschlossen .

• Betroffene Versionen: Adobe Commerce 2.4.9-2026-jul und früher sowie die Versionen 2.4.8 bis 2.4.4; ebenso Magento Open Source in denselben Versionen und Commerce B2B-Module .
• Ausnutzungsstatus: Adobe hat keine aktiven Angriffe gemeldet, Commerce war jedoch in der Vergangenheit immer wieder Ziel von Angriffen .
• Patch-Anleitung: Die für August 2026 bereitgestellten Isolated Patches aus der Adobe Commerce Knowledge Base einspielen. Commerce-Cloud-Kunden können die Aktualisierung auch über Magento Cloud Patches vornehmen. Da die Patches kumulativ pro Release-Linie sind, muss zunächst der Juli-Patch installiert sein. Adobe empfiehlt, das Update innerhalb von 30 Tagen durchzuführen (Priorität 2) .

Die Commerce-Lücke CVE-2026-71362 ist besonders gefährlich, da sie keine Authentifizierung und keine Benutzerinteraktion erfordert: Ein nicht authentifizierter Angreifer kann sich über das Netzwerk höhere Rechte verschaffen . Dies könnte sensible Kundendaten gefährden und unbefugte Systemänderungen ermöglichen .

Der gesamte Patch-Tuesday im Überblick

Adobe veröffentlichte am 11. August fünf Sicherheitsbulletins und schloss insgesamt 51 Schwachstellen (CVEs) in :

• Adobe ColdFusion (15 CVEs)
• Adobe Commerce / Magento Open Source (7 CVEs)
• Adobe Campaign Classic (mehrere kritische Lücken, darunter zwei mit CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Von den 51 Schwachstellen wurden 33 als kritisch eingestuft . Die höchsten CVSS-Werte des gesamten Patch-Tuesdays erzielten die ColdFusion-OS-Befehlseinschleusung (CVSS 10.0) und die beiden Campaign-Classic-Lücken (ebenfalls CVSS 10.0) .

Handlungsempfehlungen für Sicherheitsteams

1. ColdFusion-Anwender sollten sofort patchen. Die CVSS-10.0-Lücke CVE-2026-48362 kann zu einer vollständigen Serverübernahme führen. Adobes Priorität 1 unterstreicht die akute Gefahr.
2. Commerce-Anwender sollten innerhalb von 30 Tagen patchen. Zwar sind derzeit keine aktiven Angriffe bekannt, die nicht authentifizierte Rechteausweitung (CVE-2026-71362) ist jedoch ein ernst zu nehmendes Risiko – insbesondere vor dem Hintergrund früherer Angriffe auf Commerce.
3. Es wurden keine aktiven Exploits für diese Schwachstellen beobachtet. Das Fehlen von Proof-of-Concept-Code ist jedoch keine Garantie für Sicherheit .
4. Patches vor dem Produktiveinsatz in einer Testumgebung prüfen. Dies gilt besonders für ColdFusion, wo das Update möglicherweise Auswirkungen auf benutzerdefinierte Anwendungen hat.