Allarme Sicurezza Adobe: Patch Urgenti per ColdFusion e Commerce, Rischio Esecuzione Codice Remoto

CVE-2026-48362, la falla più grave di ColdFusion, consente a un utente malintenzionato non autenticato di eseguire comandi arbitrari del sistema operativo tramite una richiesta appositamente predisposta . Questo può portare al controllo completo del server. I bug di eval injection (CVE-2026-48273) e di autorizzazione errata (CVE-2026-71384) aprono analogamente la strada all'esecuzione di codice e all'escalation dei privilegi .

Adobe Commerce (APSB26-92) — Priority 2 (Applicare Entro 30 Giorni)

Adobe ha risolto 7 vulnerabilità in Commerce e Magento Open Source .

• Versioni interessate: Adobe Commerce 2.4.9-2026-luglio e precedenti, oltre alle linee di rilascio 2.4.8 fino a 2.4.4; Magento Open Source stesse versioni; moduli Commerce B2B .
• Stato dello sfruttamento: Adobe ha riferito nessun exploit attivo in circolazione, ma Commerce è noto per essere stato preso di mira in passato .
• Indicazioni per la correzione: Applicare le patch isolate di agosto 2026 dalla knowledge base di Adobe Commerce. I clienti Commerce su Cloud possono anche eseguire il deployment tramite Magento Cloud Patches. Le patch sono cumulative per linea di rilascio: è necessario applicare prima la patch di luglio 2026. Adobe consiglia di applicare entro 30 giorni (Priority 2) .

La vulnerabilità di Commerce CVE-2026-71362 è particolarmente pericolosa perché non richiede autenticazione né interazione da parte dell'utente, consentendo a un utente malintenzionato non autenticato di aumentare i propri privilegi sulla rete . Ciò potrebbe esporre dati sensibili dei clienti e consentire modifiche non autorizzate al sistema .

Contesto Generale: Il Patch Tuesday di Adobe di Agosto 2026

Adobe ha rilasciato cinque bollettini di sicurezza l'11 agosto, correggendo un totale di 51 CVE in :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (molteplici falle critiche, incluse due con CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Delle 51 vulnerabilità, 33 sono state classificate come critiche . Gli elementi di maggiore gravità in tutta la release sono stati l'OS command injection di ColdFusion (CVSS 10.0) e le due falle CVSS 10.0 di Campaign Classic .

Punti Chiave per i Team di Sicurezza

1. Gli utenti di ColdFusion devono applicare la patch immediatamente. La falla RCE con CVSS 10.0 (CVE-2026-48362) può portare al pieno compromesso del server. Il rating Priority 1 di Adobe segnala un rischio elevato di futuro targeting.
2. Gli utenti di Commerce devono applicare la patch entro 30 giorni. Sebbene non sia stata rilevata alcuna attività di sfruttamento in corso, il vettore di escalation dei privilegi non autenticato (CVE-2026-71362) è una seria preoccupazione, specialmente data la storia di Commerce come bersaglio.
3. Non sono stati osservati exploit attivi per nessuna di queste vulnerabilità alla data dell'avviso, ma l'assenza di codice proof-of-concept non garantisce la sicurezza .
4. Verificare l'applicazione della patch in ambienti di staging prima di distribuirla in produzione, specialmente per ColdFusion dove la correzione potrebbe influenzare applicazioni personalizzate.