Adobe Rilis Patch Kritis Agustus 2026: ColdFusion dan Commerce Jadi Sasaran Utama

Pada 11 Agustus 2026, Adobe merilis pembaruan keamanan yang menambal lebih dari 50 kerentanan di berbagai produknya. Perbaikan paling mendesak ditujukan untuk ColdFusion dan Adobe Commerce, dua produk yang banyak digunakan di lingkungan perusahaan. Meskipun Adobe melaporkan belum ada eksploitasi aktif yang terdeteksi, tingkat keparahan beberapa celah — termasuk kerentanan Remote Code Execution (RCE) dengan skor CVSS 10.0 di ColdFusion — membuat tim keamanan wajib bertindak cepat .

Adobe ColdFusion (APSB26-90) — Prioritas 1 (Patch Sekarang Juga)

Adobe menambal 15 cacat keamanan di ColdFusion versi 2025 dan 2023. Tiga di antaranya masuk kategori kritis :

CVE	Tipe	CVSS	Dampak
CVE-2026-48362	Injeksi perintah OS	10.0	Eksekusi kode jarak jauh
CVE-2026-48273	Injeksi eval	9.9	Eksekusi kode jarak jauh
CVE-2026-71384	Otorisasi tidak tepat	9.6	Bypass kontrol keamanan, akses administratif

• Versi terdampak: ColdFusion 2025 hingga 2025.0.11, ColdFusion 2023 hingga 2023.0.22. Diperbaiki di versi 2025.0.12 dan 2023.0.23 .
• Status eksploitasi: Adobe melaporkan belum ada eksploitasi aktif di lapangan saat rilis .
• Panduan patching: Segera terapkan pembaruan keamanan ColdFusion. Adobe memberi peringkat Priority 1 (risiko tertinggi — "risiko lebih tinggi untuk ditargetkan di alam liar") .

CVE-2026-48362, celah ColdFusion paling parah, memungkinkan penyerang tanpa autentikasi mengeksekusi perintah sistem operasi melalui permintaan yang dirancang khusus . Ini dapat mengakibatkan kompromi server secara penuh. Kerentanan injeksi eval (CVE-2026-48273) dan otorisasi tidak tepat (CVE-2026-71384) juga membuka celah untuk eksekusi kode dan eskalasi hak akses .

Adobe Commerce (APSB26-92) — Prioritas 2 (Terapkan dalam 30 Hari)

Adobe menyelesaikan 7 kerentanan di Commerce dan Magento Open Source :

CVE	Tipe	CVSS	Dampak
CVE-2026-71362	Otorisasi tidak tepat	9.1	Eskalasi hak akses (tanpa autentikasi, tanpa interaksi pengguna)
CVE lainnya	Beragam (severitas tinggi)	—	Eksekusi kode sewenang-wenang, bypass fitur keamanan

• Versi terdampak: Adobe Commerce 2.4.9-2026-jul dan sebelumnya, serta lini rilis 2.4.8 hingga 2.4.4; Magento Open Source versi sama; modul Commerce B2B .
• Status eksploitasi: Adobe melaporkan belum ada eksploitasi aktif, namun Commerce dikenal pernah menjadi sasaran serangan di masa lalu .
• Panduan patching: Terapkan Isolated patches Agustus 2026 dari basis pengetahuan Adobe Commerce. Pelanggan Commerce on Cloud juga bisa menggunakan Magento Cloud Patches. Patch bersifat kumulatif per lini rilis — patch Juli 2026 harus diterapkan terlebih dahulu. Adobe merekomendasikan penerapan dalam 30 hari (Priority 2) .

Celah Commerce CVE-2026-71362 sangat berbahaya karena tidak memerlukan autentikasi dan interaksi pengguna, memungkinkan penyerang tanpa autentikasi untuk meningkatkan hak akses melalui jaringan . Ini bisa mengekspos data pelanggan sensitif dan memungkinkan modifikasi sistem yang tidak sah .

Konteks Lebih Luas: Patch Tuesday Adobe Agustus 2026

Adobe merilis lima buletin keamanan pada 11 Agustus, menangani total 51 CVE di :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (beberapa celah kritis, termasuk dua dengan CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Dari 51 kerentanan, 33 di antaranya masuk kategori kritis . Item dengan tingkat keparahan tertinggi di seluruh rilis adalah injeksi perintah OS ColdFusion (CVSS 10.0) dan dua celah Campaign Classic dengan CVSS 10.0 .

Poin Penting untuk Tim Keamanan

1. Pengguna ColdFusion harus segera melakukan patch. Celah RCE CVSS 10.0 (CVE-2026-48362) dapat menyebabkan kompromi server penuh. Peringkat Priority 1 dari Adobe menandakan risiko tinggi untuk ditargetkan di masa depan.
2. Pengguna Commerce harus melakukan patch dalam 30 hari. Meskipun belum ada eksploitasi aktif yang terdeteksi, vektor eskalasi hak akses tanpa autentikasi (CVE-2026-71362) merupakan ancaman serius, terutama mengingat riwayat Commerce sebagai target serangan.
3. Belum ada eksploitasi aktif yang teramati untuk kerentanan ini hingga tanggal advisori, tetapi ketiadaan proof-of-concept code tidak menjamin keamanan .
4. Verifikasi penerapan patch di lingkungan staging sebelum diterapkan ke produksi, terutama untuk ColdFusion di mana perbaikan dapat memengaruhi aplikasi kustom.