Mise à jour de sécurité Adobe d'août 2026 : vulnérabilités critiques dans ColdFusion et Commerce

Le 11 août 2026, Adobe a déployé des correctifs de sécurité pour corriger plus de 50 vulnérabilités dans sa gamme de produits. Les mises à jour les plus urgentes concernent ColdFusion et Adobe Commerce, deux solutions largement utilisées dans les environnements professionnels. Bien qu'Adobe n'ait signalé aucune exploitation active au moment de la divulgation, la gravité de certaines failles — notamment une vulnérabilité d'exécution de code à distance (RCE) notée CVSS 10.0 dans ColdFusion — exige une action immédiate des équipes de sécurité .

Adobe ColdFusion (APSB26-90) — Priorité 1 (Mise à jour immédiate)

Adobe a corrigé 15 défauts de sécurité dans ColdFusion 2025 et 2023. Trois d'entre eux sont classés critiques :

CVE	Type	CVSS	Impact
CVE-2026-48362	Injection de commandes OS	10.0	Exécution de code à distance
CVE-2026-48273	Injection eval	9.9	Exécution de code à distance
CVE-2026-71384	Autorisation incorrecte	9.6	Contournement des contrôles de sécurité, accès administrateur

• Versions concernées : ColdFusion 2025 jusqu'à 2025.0.11, ColdFusion 2023 jusqu'à 2023.0.22. Corrigé dans les versions 2025.0.12 et 2023.0.23 .
• Statut d'exploitation : Adobe a indiqué aucune exploitation active connue à ce jour .
• Recommandation : Appliquez la mise à jour de sécurité ColdFusion immédiatement. Adobe lui a attribué la priorité 1 (risque le plus élevé — « risque plus élevé d'être ciblé dans la nature ») .

La CVE-2026-48362, la faille ColdFusion la plus grave, permet à un attaquant non authentifié d'exécuter des commandes système arbitraires via une requête spécialement conçue . Cela peut entraîner un compromis complet du serveur. Les failles d'injection eval (CVE-2026-48273) et d'autorisation incorrecte (CVE-2026-71384) ouvrent également la voie à l'exécution de code et à l'élévation de privilèges .

Adobe Commerce (APSB26-92) — Priorité 2 (Appliquer sous 30 jours)

Adobe a résolu 7 vulnérabilités dans Commerce et Magento Open Source .

CVE	Type	CVSS	Impact
CVE-2026-71362	Autorisation incorrecte	9.1	Élévation de privilèges (sans authentification, sans interaction utilisateur)
Autres CVE corrigées	Divers (haute sévérité)	—	Exécution de code arbitraire, contournement de fonctionnalité de sécurité

• Versions concernées : Adobe Commerce 2.4.9-2026-jul et versions antérieures, ainsi que les versions 2.4.8 à 2.4.4 ; Magento Open Source mêmes versions ; modules Commerce B2B .
• Statut d'exploitation : Adobe a signalé aucune exploitation active connue, mais Commerce a déjà été ciblé par le passé .
• Recommandation : Appliquez les correctifs isolés d'août 2026 depuis la base de connaissances Adobe Commerce. Les clients Commerce sur Cloud peuvent également déployer via Magento Cloud Patches. Les correctifs sont cumulatifs par ligne de version — le correctif de juillet 2026 doit être appliqué en premier. Adobe recommande d'appliquer dans les 30 jours (Priorité 2) .

La faille Commerce CVE-2026-71362 est particulièrement dangereuse car elle ne nécessite aucune authentification ni interaction utilisateur, permettant à un attaquant non authentifié d'élever ses privilèges sur le réseau . Cela pourrait exposer des données clients sensibles et permettre des modifications non autorisées du système .

Contexte plus large : le Patch Tuesday d'Adobe d'août 2026

Adobe a publié cinq bulletins de sécurité le 11 août, corrigeant un total de 51 CVE couvrant :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (plusieurs failles critiques, dont deux notées CVSS 10.0)
• Adobe Lightroom Classic
• SDK Content Credentials

Parmi les 51 vulnérabilités, 33 ont été classées critiques . Les éléments les plus graves de l'ensemble des correctifs étaient l'injection de commandes OS dans ColdFusion (CVSS 10.0) et les deux failles CVSS 10.0 de Campaign Classic .

Points clés pour les équipes de sécurité

1. Les utilisateurs de ColdFusion doivent appliquer le correctif immédiatement. La faille RCE CVSS 10.0 (CVE-2026-48362) peut entraîner un compromis complet du serveur. La note de Priorité 1 d'Adobe signale un risque accru de ciblage futur.
2. Les utilisateurs de Commerce doivent appliquer le correctif dans les 30 jours. Bien qu'aucune exploitation active n'ait été détectée, le vecteur d'élévation de privilèges sans authentification (CVE-2026-71362) est une préoccupation sérieuse, surtout compte tenu de l'historique de ciblage de Commerce.
3. Aucune exploitation active n'a été observée pour ces vulnérabilités à la date de l'avis, mais l'absence de code de preuve de concept ne garantit pas la sécurité .
4. Vérifiez l'application des correctifs dans des environnements de test avant de les déployer en production, en particulier pour ColdFusion où le correctif peut affecter les applications personnalisées.