Adobe lanza parches críticos de agosto 2026: vulnerabilidades CVSS 10 en ColdFusion y fallo grave en Commerce

El 11 de agosto de 2026, Adobe lanzó actualizaciones de seguridad que corrigen más de 50 vulnerabilidades en su línea de productos. Las correcciones más urgentes afectan a ColdFusion y Adobe Commerce, dos herramientas ampliamente implementadas en entornos empresariales. Aunque Adobe no reportó explotación activa al momento de la divulgación, la gravedad de ciertos fallos —incluyendo una vulnerabilidad de ejecución remota de código (RCE) con CVSS 10,0 en ColdFusion— exige atención inmediata por parte de los equipos de seguridad .

Adobe ColdFusion (APSB26-90) — Prioridad 1 (Actualizar de inmediato)

Adobe parcheó 15 defectos de seguridad en ColdFusion 2025 y 2023. Tres fueron calificados como críticos :

CVE	Tipo	CVSS	Impacto
CVE-2026-48362	Inyección de comandos del sistema operativo	10,0	Ejecución remota de código
CVE-2026-48273	Inyección eval	9,9	Ejecución remota de código
CVE-2026-71384	Autorización incorrecta	9,6	Omisión de controles de seguridad, acceso administrativo

• Versiones afectadas: ColdFusion 2025 hasta 2025.0.11, ColdFusion 2023 hasta 2023.0.22. Corregido en 2025.0.12 y 2023.0.23 .
• Estado de explotación: Adobe informó que no hay exploits activos conocidos hasta la fecha del comunicado .
• Recomendación de parcheo: Aplicar la actualización de seguridad de ColdFusion de inmediato. Adobe le asignó Prioridad 1 (riesgo más alto — "mayor riesgo de ser atacado en entornos reales") .

El CVE-2026-48362, el fallo más grave de ColdFusion, permite a un atacante no autenticado ejecutar comandos arbitrarios del sistema operativo mediante una solicitud manipulada . Esto puede llevar al compromiso total del servidor. Los fallos de inyección eval (CVE-2026-48273) y de autorización incorrecta (CVE-2026-71384) también abren la puerta a la ejecución de código y la escalada de privilegios .

Adobe Commerce (APSB26-92) — Prioridad 2 (Aplicar en 30 días)

Adobe resolvió 7 vulnerabilidades en Commerce y Magento Open Source .

CVE	Tipo	CVSS	Impacto
CVE-2026-71362	Autorización incorrecta	9,1	Escalada de privilegios (sin autenticación, sin interacción del usuario)
Otros CVE parcheados	Varios (alta gravedad)	—	Ejecución de código arbitrario, omisión de funciones de seguridad

• Versiones afectadas: Adobe Commerce 2.4.9-2026-jul y anteriores, además de las líneas 2.4.8 a 2.4.4; Magento Open Source mismas versiones; módulos Commerce B2B .
• Estado de explotación: Adobe informó que no hay exploits activos conocidos, aunque Commerce ha sido blanco de ataques en el pasado .
• Recomendación de parcheo: Aplicar los parches aislados de agosto de 2026 desde la base de conocimiento de Adobe Commerce. Los clientes de Commerce en la nube también pueden implementarlos a través de Magento Cloud Patches. Los parches son acumulativos por línea de versión; primero debe aplicarse el parche de julio de 2026. Adobe recomienda aplicar la actualización en un plazo de 30 días (Prioridad 2) .

El fallo de Commerce CVE-2026-71362 es particularmente peligroso porque no requiere autenticación ni interacción del usuario, lo que permite a un atacante no autenticado escalar privilegios a través de la red . Esto podría exponer datos confidenciales de clientes y permitir modificaciones no autorizadas del sistema .

Contexto general: el Patch Tuesday de Adobe de agosto 2026

Adobe publicó cinco boletines de seguridad el 11 de agosto, que abordan un total de 51 CVE en :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (múltiples fallos críticos, incluidos dos con CVSS 10,0)
• Adobe Lightroom Classic
• Content Credentials SDK

De las 51 vulnerabilidades, 33 fueron calificadas como críticas . Los elementos de mayor gravedad en todo el lote fueron la inyección de comandos del sistema operativo en ColdFusion (CVSS 10,0) y los dos fallos CVSS 10,0 de Campaign Classic .

Conclusiones clave para los equipos de seguridad

1. Los usuarios de ColdFusion deben actualizar de inmediato. El fallo RCE con CVSS 10,0 (CVE-2026-48362) puede llevar al compromiso total del servidor. La clasificación Prioridad 1 de Adobe indica un riesgo elevado de futuros ataques.
2. Los usuarios de Commerce deben actualizar en un plazo de 30 días. Aunque no se ha detectado explotación activa, el vector de escalada de privilegios sin autenticación (CVE-2026-71362) es una amenaza grave, especialmente dado el historial de Commerce como objetivo.
3. No se han observado exploits activos para ninguna de estas vulnerabilidades hasta la fecha del aviso, pero la ausencia de código de prueba de concepto no garantiza la seguridad .
4. Verificar la aplicación del parche en entornos de prueba antes de implementarlo en producción, especialmente en ColdFusion, donde la corrección podría afectar aplicaciones personalizadas.