• Versi terdampak: ColdFusion 2025 hingga 2025.0.11, ColdFusion 2023 hingga 2023.0.22. Diperbaiki di versi 2025.0.12 dan 2023.0.23 .
• Status eksploitasi: Adobe melaporkan belum ada eksploitasi aktif di lapangan saat rilis .
• Panduan patching: Segera terapkan pembaruan keamanan ColdFusion. Adobe memberi peringkat Priority 1 (risiko tertinggi — "risiko lebih tinggi untuk ditargetkan di alam liar") .

CVE-2026-48362, celah ColdFusion paling parah, memungkinkan penyerang tanpa autentikasi mengeksekusi perintah sistem operasi melalui permintaan yang dirancang khusus . Ini dapat mengakibatkan kompromi server secara penuh. Kerentanan injeksi eval (CVE-2026-48273) dan otorisasi tidak tepat (CVE-2026-71384) juga membuka celah untuk eksekusi kode dan eskalasi hak akses .

Adobe Commerce (APSB26-92) — Prioritas 2 (Terapkan dalam 30 Hari)

Adobe menyelesaikan 7 kerentanan di Commerce dan Magento Open Source :

• Versi terdampak: Adobe Commerce 2.4.9-2026-jul dan sebelumnya, serta lini rilis 2.4.8 hingga 2.4.4; Magento Open Source versi sama; modul Commerce B2B .
• Status eksploitasi: Adobe melaporkan belum ada eksploitasi aktif, namun Commerce dikenal pernah menjadi sasaran serangan di masa lalu .
• Panduan patching: Terapkan Isolated patches Agustus 2026 dari basis pengetahuan Adobe Commerce. Pelanggan Commerce on Cloud juga bisa menggunakan Magento Cloud Patches. Patch bersifat kumulatif per lini rilis — patch Juli 2026 harus diterapkan terlebih dahulu. Adobe merekomendasikan penerapan dalam 30 hari (Priority 2) .

Celah Commerce CVE-2026-71362 sangat berbahaya karena tidak memerlukan autentikasi dan interaksi pengguna, memungkinkan penyerang tanpa autentikasi untuk meningkatkan hak akses melalui jaringan . Ini bisa mengekspos data pelanggan sensitif dan memungkinkan modifikasi sistem yang tidak sah .

Konteks Lebih Luas: Patch Tuesday Adobe Agustus 2026

Adobe merilis lima buletin keamanan pada 11 Agustus, menangani total 51 CVE di :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (beberapa celah kritis, termasuk dua dengan CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Dari 51 kerentanan, 33 di antaranya masuk kategori kritis . Item dengan tingkat keparahan tertinggi di seluruh rilis adalah injeksi perintah OS ColdFusion (CVSS 10.0) dan dua celah Campaign Classic dengan CVSS 10.0 .

Poin Penting untuk Tim Keamanan

1. Pengguna ColdFusion harus segera melakukan patch. Celah RCE CVSS 10.0 (CVE-2026-48362) dapat menyebabkan kompromi server penuh. Peringkat Priority 1 dari Adobe menandakan risiko tinggi untuk ditargetkan di masa depan.
2. Pengguna Commerce harus melakukan patch dalam 30 hari. Meskipun belum ada eksploitasi aktif yang terdeteksi, vektor eskalasi hak akses tanpa autentikasi (CVE-2026-71362) merupakan ancaman serius, terutama mengingat riwayat Commerce sebagai target serangan.
3. Belum ada eksploitasi aktif yang teramati untuk kerentanan ini hingga tanggal advisori, tetapi ketiadaan proof-of-concept code tidak menjamin keamanan .
4. Verifikasi penerapan patch di lingkungan staging sebelum diterapkan ke produksi, terutama untuk ColdFusion di mana perbaikan dapat memengaruhi aplikasi kustom.

• Versi terdampak: ColdFusion 2025 hingga 2025.0.11, ColdFusion 2023 hingga 2023.0.22. Diperbaiki di versi 2025.0.12 dan 2023.0.23 .
• Status eksploitasi: Adobe melaporkan belum ada eksploitasi aktif di lapangan saat rilis .
• Panduan patching: Segera terapkan pembaruan keamanan ColdFusion. Adobe memberi peringkat Priority 1 (risiko tertinggi — "risiko lebih tinggi untuk ditargetkan di alam liar") .

CVE-2026-48362, celah ColdFusion paling parah, memungkinkan penyerang tanpa autentikasi mengeksekusi perintah sistem operasi melalui permintaan yang dirancang khusus . Ini dapat mengakibatkan kompromi server secara penuh. Kerentanan injeksi eval (CVE-2026-48273) dan otorisasi tidak tepat (CVE-2026-71384) juga membuka celah untuk eksekusi kode dan eskalasi hak akses .

Adobe Commerce (APSB26-92) — Prioritas 2 (Terapkan dalam 30 Hari)

Adobe menyelesaikan 7 kerentanan di Commerce dan Magento Open Source :

• Versi terdampak: Adobe Commerce 2.4.9-2026-jul dan sebelumnya, serta lini rilis 2.4.8 hingga 2.4.4; Magento Open Source versi sama; modul Commerce B2B .
• Status eksploitasi: Adobe melaporkan belum ada eksploitasi aktif, namun Commerce dikenal pernah menjadi sasaran serangan di masa lalu .
• Panduan patching: Terapkan Isolated patches Agustus 2026 dari basis pengetahuan Adobe Commerce. Pelanggan Commerce on Cloud juga bisa menggunakan Magento Cloud Patches. Patch bersifat kumulatif per lini rilis — patch Juli 2026 harus diterapkan terlebih dahulu. Adobe merekomendasikan penerapan dalam 30 hari (Priority 2) .

Celah Commerce CVE-2026-71362 sangat berbahaya karena tidak memerlukan autentikasi dan interaksi pengguna, memungkinkan penyerang tanpa autentikasi untuk meningkatkan hak akses melalui jaringan . Ini bisa mengekspos data pelanggan sensitif dan memungkinkan modifikasi sistem yang tidak sah .

Konteks Lebih Luas: Patch Tuesday Adobe Agustus 2026

Adobe merilis lima buletin keamanan pada 11 Agustus, menangani total 51 CVE di :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (beberapa celah kritis, termasuk dua dengan CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Dari 51 kerentanan, 33 di antaranya masuk kategori kritis . Item dengan tingkat keparahan tertinggi di seluruh rilis adalah injeksi perintah OS ColdFusion (CVSS 10.0) dan dua celah Campaign Classic dengan CVSS 10.0 .

Poin Penting untuk Tim Keamanan

1. Pengguna ColdFusion harus segera melakukan patch. Celah RCE CVSS 10.0 (CVE-2026-48362) dapat menyebabkan kompromi server penuh. Peringkat Priority 1 dari Adobe menandakan risiko tinggi untuk ditargetkan di masa depan.
2. Pengguna Commerce harus melakukan patch dalam 30 hari. Meskipun belum ada eksploitasi aktif yang terdeteksi, vektor eskalasi hak akses tanpa autentikasi (CVE-2026-71362) merupakan ancaman serius, terutama mengingat riwayat Commerce sebagai target serangan.
3. Belum ada eksploitasi aktif yang teramati untuk kerentanan ini hingga tanggal advisori, tetapi ketiadaan proof-of-concept code tidak menjamin keamanan .
4. Verifikasi penerapan patch di lingkungan staging sebelum diterapkan ke produksi, terutama untuk ColdFusion di mana perbaikan dapat memengaruhi aplikasi kustom.